Hackers explotan activamente el complemento SMTP de WordPress con más de 100.000 instalaciones para acceder a datos confidenciales

Los piratas informáticos están abusando activamente de una falla de exposición de información confidencial en el complemento Gravity SMTP de WordPress, atacando agresivamente a más de 100.000 sitios para recopilar datos de configuración y credenciales de correo electrónico en vivo. La vulnerabilidad, rastreada como CVE‑2026‑4020 y clasificada 5.3 (Media), afecta a todas las versiones SMTP de Gravity hasta la 2.1.4 inclusive y ahora está bajo exploit masiva por parte de la infraestructura IP distribuida en múltiples regiones.

El proveedor envió silenciosamente una solución el 17 de marzo de 2026, con Gravity SMTP versión 2.1.5, pero la divulgación pública siguió el 30 de marzo de 2026, dejando expuesta una gran población de sitios rezagados durante las semanas intermedias. Cuando una solicitud agrega el parámetro de consulta page=gravitysmtp-settings, la lógica de recopilación de configuración del complemento carga los datos del conector interno. Este informe del sistema expone la versión y las extensiones de PHP, la versión del servidor web y la raíz del documento, el tipo y la versión de la base de datos, la versión de WordPress y los detalles de configuración, el tema activo, la lista de todos los complementos activos con versiones y los nombres de las tablas de la base de datos interna. Wordfence bloquea los intentos de exploit a menos que la solicitud provenga de una cuenta de administrador autorizada (Fuente: Wordfence) Los piratas informáticos explotan el complemento SMTP de WordPress. La exploit es trivial: un atacante solo necesita enviar una única solicitud GET no autenticada como GET /wp-json/gravitysmtp/v1/tests/mock-data?page=gravitysmtp-settings HTTP/1.1 y analizar el JSON resultante.

Wordfence informa que la falla Gravity SMTP ahora está experimentando una exploit generalizada, con más de 17 millones de intentos de ataque bloqueados y un aumento importante en la actividad entre el 7 y el 11 de junio de 2026, alcanzando varios millones de solicitudes por día. La mayoría de las direcciones IP activas dirigidas al punto final de la API REST de datos simulados SMTP de Gravity (Fuente: Wordfence).

Estas direcciones parecen vinculadas a una infraestructura de escaneo de gran volumen en lugar de a usuarios residenciales comunes, lo que refuerza la idea de que la exploit es en gran medida automatizada y oportunista.

Consultar publicación original ↗