# WP Duplicate: un fallo crítico sin parche permite subir PHP y ya se explota

Fuente: [WordPress Directo](https://wpdirecto.com/wp-duplicate-vulnerabilidad-cve-2026-123751-explotada/) · 2026-11-09 · Web y móvil
Página: https://themorning.dev/es/story/wp-duplicate-un-fallo-critico-sin-parche-permite-subir-php-y-ya-se-explota-6fd2c487eac21083
Tipo: Seguridad · Impacto: alto

## Lo esencial

- La vulnerabilidad CVE-2026-123751 del plugin de migración WP Duplicate (antes LocalSync) permite a un atacante sin credenciales subir archivos PHP.
- Según WordPress Directo, la vulnerabilidad ya está siendo explotada y todavía no existe una versión corregida.

## Por qué importa

Subir archivos PHP permite a un atacante tomar el control del sitio, por lo que los administradores de WordPress que usen este plugin deben tomarlo en cuenta mientras no haya parche.

## Qué hacer

- Comprobar si el sitio tiene instalado el plugin WP Duplicate o LocalSync

## CVE

- CVE-2026-123751

## Cronología

- 2026-11-09: Se publica el aviso de la vulnerabilidad, que ya se explota y no tiene versión corregida

## Cobertura

- [WP Duplicate: un fallo crítico sin parche permite subir PHP y ya se explota](https://wpdirecto.com/wp-duplicate-vulnerabilidad-cve-2026-123751-explotada/) — WordPress Directo, 2026-11-09

Etiquetas: wordpress, seguridad, vulnerabilidad, plugins, explotación activa

---

Resumen generado por IA (claude-haiku-5-5) a partir de las notas citadas en «Cobertura». Los titulares pertenecen a sus medios. The Morning Dev – https://themorning.dev/es