Publicado en

Vulnerabilidad crítica en Gravity SMTP: 100.000 sitios de WordPress bajo ataque activo

•Publicado enVulnerabilidades

Vulnerabilidad crítica en Gravity SMTP: 100.000 sitios de WordPress bajo ataque activo

En el dinámico ecosistema de WordPress, la seguridad de los plugins es un pilar fundamental para la continuidad de negocio. Recientemente, se ha emitido una alerta urgente sobre una vulnerabilidad de divulgación de información en el plugin Gravity SMTP, una herramienta activa en más de 100.000 sitios web. Esta falla está siendo explotada activamente por actores de amenazas para comprometer credenciales críticas y datos de configuración.

Análisis técnico: El origen del fallo (CVE-2026-4020)

La vulnerabilidad, identificada como CVE-2026-4020, ha recibido una calificación de severidad media, aunque su impacto operativo puede ser devastador. El problema reside en un punto final (endpoint) de la API REST del plugin. Debido a una implementación incorrecta en la función permission_callback, que siempre devuelve un valor ‘verdadero’, cualquier usuario no autenticado puede realizar solicitudes GET.

Esto permite a los atacantes obtener un «Informe del Sistema» completo en formato JSON, que incluye información extremadamente sensible:

  • Credenciales de terceros: Claves API, secretos y tokens OAuth de servicios como Amazon SES, Google, Mailjet, Resend y Zoho.

  • Configuración de WordPress: Detalles sobre plugins instalados, temas y versiones de software.

  • Entorno del servidor: Información sobre PHP y variables del sistema.

  • Detalles de la base de datos: Versión del servidor y nombres de las tablas.

Impacto para la empresa: Más allá de una simple filtración

Desde una perspectiva empresarial, la explotación de esta vulnerabilidad no solo compromete la privacidad de los datos, sino que facilita la suplantación de identidad. Al obtener las credenciales de los servicios de correo electrónico, un atacante puede enviar comunicaciones fraudulentas en nombre de la empresa, lo que aumenta drásticamente el éxito de campañas de phishing o fraudes de facturación.

Además, el informe detallado del sistema reduce significativamente el esfuerzo necesario para que los cibercriminales planifiquen ataques secundarios más sofisticados, al conocer exactamente qué defensas y versiones de software tiene la organización.

Actividad de explotación masiva

Según informes de la firma de seguridad Wordfence, se han bloqueado más de 17 millones de intentos de explotación contra sus clientes. El pico de actividad se registró a principios de junio, lo que demuestra que los grupos de ciberdelincuentes han automatizado el escaneo de sitios vulnerables para recolectar estas llaves maestras de acceso.

Recomendaciones de seguridad y remediación

En Intedya, enfatizamos la importancia de la gestión proactiva de vulnerabilidades. Para mitigar este riesgo, las organizaciones deben seguir estos pasos de inmediato:

  1. Actualización urgente: Verificar que Gravity SMTP esté actualizado a la versión 2.1.5 o superior. Esta actualización, lanzada el 17 de marzo, corrige el fallo de autenticación en la API REST.

  2. Rotación de credenciales: Si su sitio estuvo utilizando una versión vulnerable (2.1.4 o anterior), es imperativo rotar todas las claves API y secretos de los servicios de correo integrados.

  3. Monitoreo de logs: Revisar los registros de acceso al servidor en busca de solicitudes a /wp-json/gravitysmtp/v1/tests/mock-data.

  4. Revisión de Avada Builder: Paralelamente, se ha detectado una vulnerabilidad crítica de eliminación de archivos en el plugin Avada Builder (CVE-2026-8713). Se recomienda actualizar a la versión 3.15.4 para evitar la toma de control total del sitio.

La ciberseguridad no es un estado estático, sino un proceso de vigilancia constante. Mantener sus activos digitales actualizados es la primera línea de defensa para proteger la reputación y la integridad de su infraestructura corporativa.

Fuentes