Un investigador de Searchlight Cyber ha informado del hallazgo de una cadena de exploits de ejecución remota de código (RCE) en WordPress que no requiere autenticación previa. El autor utilizó la versión GPT5.6 Sol Ultra de OpenAI con un prompt adaptado a partir del que la compañía publicó para resolver la conjetura Cycle Double Cover. Tras invertir alrededor de 50 % de su cuota semanal —unos 25 dólares con la suscripción de 200 dólares—, el modelo identificó una inyección SQL preautenticación en el código de WordPress y, cuatro horas después, la encadenó con una escalada a administrador para conseguir RCE.
El equipo decidió retrasar la publicación para dar tiempo a los administradores a actualizar sus instancias durante un fin de semana; aun así, otros investigadores reprodujeron la cadena de forma independiente antes de que aparecieran pruebas de concepto públicas. Searchlight ha habilitado una herramienta en wp2shell.com para comprobar si una instalación es vulnerable. WordPress, con más de 500 millones de sitios en funcionamiento según estimaciones citadas por el autor, es uno de los objetivos más auditados del ecosistema web. La compañía que explota vulnerabilidades de día cero (exploit brokers) paga hasta 500.000 dólares por un RCE en WordPress, según el encabezado de la investigación. La parte técnica del aviso sobre el bug base, la SQLi y la cadena de postexplotación continúa en el artículo original.