Están explotando activamente una vulnerabilidad de exposición de información sensible en el plugin de WordPress Gravity SMTP. El ataque afecta a más de 100,000 sitios con el objetivo de recolectar datos de configuración y credenciales de correo electrónico. El fallo, identificado como CVE-2026-4020 y con una calificación de riesgo medio (5.3), impacta a todas las versiones del plugin hasta la 2.1.4.

Abusando activamente de un fallo de exposición de información sensible en el plugin Gravity SMTP de WordPress, atacando agresivamente a más de 100.000 sitios para recolectar datos de configuración y credenciales de correo electrónico en vivo.

La vulnerabilidad, rastreada como CVE‑2026‑4020 y calificada con un 5.3 (Media), afecta a todas las versiones de Gravity SMTP hasta la 2.1.4 inclusive, y ahora se encuentra bajo explotación masiva mediante una infraestructura de IP distribuidas en múltiples regiones.

El proveedor lanzó discretamente una corrección el 17 de marzo de 2026, con la versión 2.1.5 de Gravity SMTP, pero la divulgación pública ocurrió el 30 de marzo de 2026, dejando a una gran cantidad de sitios desactualizados expuestos durante las semanas intermedias.

El núcleo del problema es un endpoint de la API REST registrado en /wp-json/gravitysmtp/v1/tests/mock-data con un callback de permisos que devuelve siempre "true", lo que significa que el endpoint no realiza ninguna comprobación de autenticación o capacidad y es accesible para cualquier visitante no autenticado.

Cuando una solicitud añade el parámetro de consulta page=gravitysmtp-settings, la lógica de recolección de configuración del plugin carga sus datos de conexión internos. Esto devuelve un "Informe del Sistema" en formato JSON de aproximadamente 365 KB que contiene extensos metadatos del sistema y del plugin.

Este Informe del Sistema expone la versión de PHP y sus extensiones, la versión del servidor web y el root de los documentos, el tipo y versión de la base de datos, la versión de WordPress y los detalles de configuración, el tema activo, la lista de todos los plugins activos con sus versiones y los nombres de las tablas internas de la base de datos.

De manera crítica, también incluye cualquier clave de API, secretos y tokens de OAuth configurados para las integraciones de correo de Gravity SMTP, incluyendo proveedores como Amazon SES, Google, Mailjet, Resend y Zoho, dándole a los atacantes todo lo necesario para enviar correos electrónicos a través de canales legítimos propiedad de la víctima.

Esta combinación de reconocimiento detallado y exposición de credenciales reduce significativamente el esfuerzo necesario para encadenar vulnerabilidades adicionales o pivotar hacia un compromiso de cuenta más amplio.

Explotan el Plugin SMTP de WordPress

La explotación es trivial: un atacante solo necesita enviar una única solicitud GET no autenticada como GET /wp-json/gravitysmtp/v1/tests/mock-data?page=gravitysmtp-settings HTTP/1.1 y analizar el JSON resultante.

Debido a que no se aplica ninguna autenticación, protección CSRF ni comprobaciones de capacidad en el endpoint, este patrón se presta perfectamente al escaneo y recolección automatizados en todo internet, y ya existen plantillas de explotación disponibles en ecosistemas de herramientas públicas como Nuclei.

Wordfence informa que el fallo de Gravity SMTP está experimentando una explotación generalizada, con más de 17 millones de intentos de ataque bloqueados y un aumento masivo de la actividad entre el 7 y el 11 de junio de 2026, alcanzando varios millones de solicitudes por día.

CrowdSec informa asimismo de al menos 412 IP de ataque distintas entre el 27 de mayo y el 1 de junio de 2026, con la mayor actividad asociada a geografías de servicios de nube y hosting en lugar de un único grupo localizado.

Entre las fuentes más agresivas observadas bombardeando el endpoint vulnerable de mock-data se encuentran IPs como 45.148.10.95, 193.32.162.60, 176.65.148.139, 173.199.90.188, 45.148.10.120, 185.8.107.155, 185.8.106.37, 185.8.106.92, 185.8.106.145 y 176.65.148.30, cada una responsable de cientos de miles de solicitudes bloqueadas.

Estas direcciones parecen estar vinculadas a infraestructuras de escaneo de alto volumen más que a usuarios residenciales ordinarios, lo que refuerza la idea de que la explotación es mayoritariamente automatizada y oportunista.

Sin embargo, debes tratar esta lista como indicativa y no exhaustiva, ya que nuevas IPs se unen continuamente a la superficie de ataque a medida que los scripts se propagan y botnets adicionales incorporan las comprobaciones de CVE‑2026‑4020 en sus rutinas.

Detectar la explotación es difícil porque la vulnerabilidad es de solo lectura y no modifica directamente el contenido del sitio, los usuarios o los archivos.

Como resultado, los indicadores de compromiso tradicionales, como nuevas cuentas de administrador o la presencia de webshells, pueden estar ausentes incluso cuando las credenciales ya han sido robadas.

En su lugar, debes revisar los registros de acceso del servidor web en busca de cualquier hit a /wp-json/gravitysmtp/v1/tests/mock-data, especialmente solicitudes que contengan page=gravitysmtp-settings, y correlacionarlas con marcas de tiempo, agentes de usuario e IPs maliciosas conocidas, como las enumeradas anteriormente.

Las respuestas JSON grandes de 365 KB desde esa ruta son una prueba sólida de que el informe del sistema ha sido recuperado al menos una vez.

Pasos de Remediación

La mitigación requiere una combinación de parches, rotación de credenciales y endurecimiento a nivel de red. Los propietarios de los sitios deben actualizar Gravity SMTP a la versión 2.1.5 o posterior, que soluciona el comportamiento inseguro de la API REST.

Debido a que no hay una forma fiable de demostrar que las credenciales no fueron accedidas una vez que un sitio ejecutó una versión vulnerable, todas las claves de API, secretos y tokens de OAuth asociados con Amazon SES, Google, Mailjet, Resend, Zoho u otros proveedores conectados deben rotarse inmediatamente después de aplicar el parche.

Además, los equipos de seguridad deberían considerar bloquear el acceso no autenticado a /wp-json/gravitysmtp/v1/tests/mock-data mediante la configuración del servidor web o reglas de Firewall de Aplicaciones Web (WAF) y, cuando sea factible, restringir el acceso a la API REST a rangos de IP confiables.

Fuentes:
https://cybersecuritynews.com/hackers-exploiting-wordpress-smtp-plugin/