100.000 sitios de WordPress afectados por una vulnerabilidad de ejecución remota de código en campos personalizados avanzados [ENG]

El 18 de noviembre de 2025, recibimos una denuncia por una vulnerabilidad de ejecución remota de código no autenticada en Advanced Custom Fields: Extended , un plugin de WordPress con más de 100 000 instalaciones activas. Esta vulnerabilidad puede aprovecharse para ejecutar código de forma remota.

[#1 Trublux]

Pocos me parecen.

[#2 ombresaco]

#1 parece que no es wordpress, sino este plugin

wordpress.org/plugins/acf-extended/

cuya web dice explícitamente que tiene más de 100.000 instalaciones activas

[#3 Trublux]

#2 Es uno de los plugins más conocidos, me siguen pareciendo pocas