El 4 de noviembre de 2026 se identificaron indicios de una alteración no autorizada en la presentación del portal web de la Comisión Nacional de Bancos y Seguros (CNBS) de Honduras. La evidencia analizada es compatible con un ataque de website defacement, una técnica mediante la cual actores de amenaza modifican la apariencia de un sitio web para sustituir su contenido visual legítimo por mensajes no autorizados.
A diferencia de los ataques que reemplazan directamente archivos HTML, el caso presenta una característica técnica particular: la aparente utilización de reglas CSS para ocultar la interfaz institucional y superponer contenido de reivindicación, conservando elementos de la estructura HTML original.
El análisis de esta actividad también plantea interrogantes sobre la seguridad del sistema de gestión de contenidos y la posible exposición de componentes WordPress a vulnerabilidades previamente documentadas, algunas de ellas asociadas con ejecución remota de código, inyección SQL y toma de control de cuentas administrativas.
Manipulación CSS: una alteración visual sin necesidad de eliminar el HTML original
De acuerdo con los elementos técnicos documentados, en el recurso institucional Acerca de la CNBS – Comisión Nacional de Bancos y Seguros se identificó un bloque de estilos denominado jeg_dynamic_css, cuyo contenido incluía instrucciones destinadas a modificar la presentación habitual del sitio.
Este mecanismo resulta especialmente relevante porque permite alterar lo que el usuario observa sin necesidad de sustituir completamente la estructura HTML de la página.
Entre las propiedades identificadas destacan:
- visibility: hidden: permite ocultar visualmente elementos del documento mientras estos pueden permanecer dentro del árbol DOM.
- overflow: hidden: restringe el desplazamiento y puede limitar la navegación por el contenido original.
- background: modifica el aspecto del fondo utilizado por la página.
- body::before y body::after: permiten incorporar contenido generado mediante CSS, como textos superpuestos a la interfaz original.
Mediante estas técnicas es posible construir una presentación visual que aparente haber reemplazado por completo el sitio institucional, aunque los elementos legítimos continúen presentes en el documento.
En la evidencia del caso aparecen expresiones como «HAS BEEN PWNED» y «HACKED BY», acompañadas de identificadores utilizados como firmas de los presuntos responsables.
Desde una perspectiva de análisis forense, esta distinción es importante: la modificación de la presentación del sitio no demuestra por sí misma que el atacante haya eliminado archivos, obtenido privilegios de administrador del sistema operativo o comprometido bases de datos institucionales.
No obstante, si se confirma que el CSS fue incorporado sin autorización y distribuido desde el entorno institucional, el hecho constituiría una afectación a la integridad del contenido web.
WordPress como superficie potencial de ataque
El análisis de la infraestructura web plantea la necesidad de examinar los mecanismos de administración y publicación de contenido de WordPress.
Los sistemas de gestión de contenidos pueden presentar distintas superficies de exposición, particularmente cuando incorporan plugins, constructores visuales, temas y funcionalidades administrativas que permiten modificar dinámicamente la presentación de las páginas.
En este contexto, una alteración del CSS podría producirse mediante diferentes escenarios:
1. Compromiso de credenciales administrativas. Un actor que obtenga acceso a una cuenta con permisos suficientes podría modificar estilos, configuraciones del tema o componentes de publicación.
2. Explotación de vulnerabilidades del CMS. Una falla que permita escritura no autorizada, escalamiento de privilegios o ejecución remota de código podría facilitar modificaciones sobre recursos web.
3. Abuso de funcionalidades de plugins. Algunos complementos incorporan interfaces para administrar elementos visuales, plantillas y contenido dinámico. Una validación insuficiente de permisos podría permitir cambios fuera del alcance previsto para determinados usuarios.
4. Manipulación de la información almacenada en bases de datos. Si el contenido CSS procede de configuraciones persistidas en el CMS, su alteración podría producirse sin modificar directamente un archivo físico del servidor.
Estos escenarios representan hipótesis técnicas y no mecanismos de acceso inicial confirmados para el incidente.
Ocho vulnerabilidades que podrían formar parte de las hipótesis de investigación
Entre las vulnerabilidades documentadas públicamente se encuentran ocho CVE que afectan a WordPress y distintos componentes de su ecosistema.
La existencia de estas fallas introduce escenarios de explotación que deben evaluarse frente a las versiones y configuraciones realmente instaladas en la infraestructura afectada.
| Vulnerabilidad | Componente | CVSS | Impacto técnico |
| CVE-2026-63030 | WordPress Core | 9.8 | Confusión de rutas REST API; RCE al combinarse con CVE-2026-60137 |
| CVE-2026-60137 | WordPress Core | 5.9 | Inyección SQL en WP_Query |
| CVE-2026-15155 | Essential Addons for Elementor | 8.8 | Toma de control de cuentas mediante inyección de encabezados de correo, bajo requisitos específicos |
| CVE-2024-8107 | Slider Revolution | 6.4 | Cross-Site Scripting almacenado mediante archivos SVG |
| CVE-2025-10249 | Slider Revolution | 6.5 | Controles de autorización insuficientes y acceso no autorizado a funciones y archivos |
| CVE-2026-6728 | Slider Revolution | 5.3 | Exposición de información sensible |
| CVE-2026-57619 | Elementor | 6.5 | Exposición de información por autorización insuficiente |
| CVE-2026-12696 | wpForo | 6.5 | Cross-Site Scripting almacenado en perfiles de usuario |
Estas vulnerabilidades no representan una cadena de explotación única. Cada una presenta diferentes requisitos, efectos y condiciones de aprovechamiento.
La cadena wp2shell: ejecución remota de código mediante WordPress Core
Uno de los escenarios técnicamente más relevantes corresponde a la combinación de CVE-2026-63030 y CVE-2026-60137, conocida como wp2shell.
La primera vulnerabilidad afecta al procesamiento de rutas en un endpoint de operaciones por lotes de la REST API de WordPress. La segunda deriva de una sanitización insuficiente del parámetro author__not_in utilizado por WP_Query.
Cuando ambas condiciones se presentan en versiones afectadas, su encadenamiento puede permitir que un atacante no autenticado alcance una condición de SQL Injection y posteriormente consiga ejecución remota de código.
Las versiones WordPress 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1 se encuentran entre las afectadas por esta cadena, corregida en las versiones 6.9.5 y 7.0.2.
La explotación de estas vulnerabilidades ha sido documentada en campañas reales contra instalaciones vulnerables de WordPress.
En un escenario hipotético de compromiso, la capacidad de ejecutar código podría proporcionar al atacante oportunidades para alterar configuraciones, modificar contenido o intervenir en los mecanismos de publicación del sitio.
Sin embargo, no se dispone de evidencia que confirme que la cadena wp2shell haya sido utilizada contra la CNBS. Para establecer esa relación sería necesario verificar las versiones instaladas y correlacionar registros de solicitudes HTTP, actividad de base de datos y eventos del servidor.
Plugins de WordPress: otras rutas potenciales
Las vulnerabilidades identificadas en Essential Addons for Elementor, Slider Revolution y wpForo presentan capacidades distintas.
CVE-2026-15155 podría facilitar el compromiso de una cuenta administrativa mediante una falla de inyección de encabezados de correo. Su explotación requiere determinadas condiciones, entre ellas acceso autenticado con privilegios suficientes y el uso de la funcionalidad vulnerable.
Por su parte, CVE-2025-10249 contempla deficiencias en la validación de permisos de Slider Revolution, permitiendo a usuarios con privilegios Contributor o superiores realizar operaciones que deberían estar restringidas.
Otras fallas, como CVE-2024-8107 y CVE-2026-12696, involucran Cross-Site Scripting almacenado. En determinados escenarios, esta técnica podría formar parte de una cadena de compromiso de sesiones privilegiadas, aunque requiere pasos adicionales para explicar una modificación persistente de estilos.
En contraste, CVE-2026-6728 y CVE-2026-57619 se relacionan principalmente con exposición de información y no constituyen, por sí solas, un mecanismo demostrado para modificar el contenido CSS del portal.
La evaluación de estas posibilidades exige comprobar tanto la presencia de los componentes afectados como sus versiones, privilegios requeridos y registros de actividad.
Correlación con MITRE ATT&CK
El comportamiento observado es compatible con la técnica T1491.002 — External Defacement, perteneciente a la táctica de Impacto del marco MITRE ATT&CK.
Esta técnica contempla la modificación no autorizada de contenido externo de una organización, frecuentemente utilizada para difundir mensajes, reivindicar ataques o afectar la confianza en servicios digitales.
Dependiendo del acceso inicial que pudiera confirmarse, otras técnicas podrían resultar relevantes, particularmente:
T1190 — Exploit Public-Facing Application: explotación de una aplicación expuesta públicamente.
T1078 — Valid Accounts: utilización de credenciales legítimas para acceder a recursos o funcionalidades restringidas.
La correlación de estas técnicas debe interpretarse como una representación de posibles comportamientos adversarios. Actualmente, el defacement constituye el comportamiento mejor sustentado por la evidencia presentada, mientras que el acceso inicial permanece sin determinar.
Impacto sobre la integridad digital de una institución financiera
La CNBS cumple una función de supervisión dentro del sistema financiero hondureño, por lo que la integridad de sus plataformas públicas resulta relevante para la confianza institucional.
Una alteración visual de estas características puede afectar la autenticidad percibida de la información publicada y generar incertidumbre sobre la seguridad de los sistemas que respaldan los servicios digitales.
Sin embargo, es necesario distinguir entre la integridad de la presentación web y el compromiso de otros componentes tecnológicos.
Hasta el momento, la información examinada no permite determinar si la actividad involucró acceso persistente, movimientos laterales, extracción de información o alteraciones en sistemas distintos del portal afectado.
Tampoco existen elementos suficientes para atribuir de manera concluyente la operación a los identificadores exhibidos en la página.
Conclusión
El presunto incidente contra el portal de la CNBS de Honduras presenta características técnicas compatibles con un ataque de website defacement mediante manipulación de reglas CSS, particularmente por el ocultamiento de contenido institucional y la incorporación de mensajes superpuestos.
La identificación de vulnerabilidades documentadas en WordPress y sus complementos permite formular hipótesis sobre posibles mecanismos de acceso y modificación del contenido web, destacando la cadena wp2shell como un escenario de especial interés técnico.
No obstante, la existencia de una vulnerabilidad en el ecosistema tecnológico no demuestra su explotación en este incidente.
La determinación del mecanismo de compromiso, los privilegios obtenidos y el alcance real de la actividad dependerá de la correlación de evidencia forense, registros del CMS y eventos de la infraestructura.
El caso ilustra cómo una alteración aparentemente limitada a la presentación visual puede convertirse en un indicador relevante para una investigación de seguridad, especialmente cuando afecta a una institución del sector financiero.
Nota editorial: artículo de carácter informativo basado en el análisis técnico disponible al 5 de noviembre de 2026. Los escenarios de explotación descritos son hipótesis de investigación y no constituyen atribuciones confirmadas ni evidencia de que las vulnerabilidades hayan sido utilizadas contra la institución.
