Una vulnerabilidad de seguridad que está siendo explotada activamente en el complemento Gravity SMTP para WordPress ha puesto en riesgo la confidencialidad de miles de sitios web. El fallo, identificado técnicamente como CVE-2026-4020, permite que atacantes externos revelen información sensible sobre la configuración de los sitios y, lo que es más grave, las credenciales utilizadas para conectar las plataformas con servicios externos de correo electrónico.
Este complemento, desarrollado por Gravity Forms y con aproximadamente 100.000 instalaciones activas, es una herramienta fundamental para muchos administradores, ya que permite vincular un sitio de WordPress con proveedores de correo electrónico para gestionar el envío de notificaciones, mensajes de formularios y diversas comunicaciones transaccionales de manera eficiente. Sin embargo, la falla afecta a todas las versiones del plugin hasta la 2.1.4, habiendo sido corregida finalmente por el desarrollador en la versión 2.1.5.
La gravedad de la situación ha quedado evidenciada a través de una alerta publicada por Wordfence el pasado 17 de junio. Según los datos proporcionados por la firma de seguridad, su cortafuegos ha bloqueado más de 17 millones de intentos de explotar esta vulnerabilidad específica. La actividad maliciosa mostró un incremento notable durante los primeros días de junio, alcanzando un pico el 7 de junio, fecha en la que se superaron las cuatro millones de solicitudes bloqueadas en un solo día. Es importante señalar que estas cifras corresponden exclusivamente a los sitios protegidos por Wordfence, por lo que no es posible determinar con exactitud cuántos sitios en total fueron atacados, cuántas solicitudes lograron alcanzar sistemas vulnerables o cuántas credenciales fueron efectivamente sustraídas por los atacantes.
El origen del problema técnico se localiza en un endpoint de la API REST que el complemento utiliza para llevar a cabo funciones internas de prueba. En las versiones afectadas, el mecanismo de comprobación encargado de decidir si una solicitud está autorizada falla sistemáticamente, devolviendo siempre un resultado positivo. Esta deficiencia permite que cualquier visitante, sin necesidad de haber iniciado sesión ni poseer una cuenta en el sitio web, pueda consultar dicho endpoint.
Cuando un atacante añade un parámetro específico a una solicitud HTTP, el servidor puede entregar un informe detallado en formato JSON de aproximadamente 365 kilobytes. Este documento contiene una cantidad alarmante de información técnica: versiones de PHP, de WordPress y del servidor web, el listado de complementos activos con sus respectivas versiones, el tema utilizado, así como detalles íntimos de la base de datos y los nombres de sus tablas.
Más allá de la información del sistema, el informe puede incluir claves API, secretos y tokens OAuth configurados para las integraciones de correo electrónico. Wordfence ha mencionado que entre los servicios comprometidos se encuentran Amazon SES, Google, Mailjet, Resend y Zoho. La explotación de esta falla es extremadamente sencilla, ya que requiere una única solicitud GET sin autenticación. Debido a que el ataque no necesita modificar archivos ni crear cuentas de usuario, suele pasar desapercibido para las herramientas de investigación de intrusiones habituales, dejando como única huella la solicitud almacenada en los registros de acceso del servidor web.
Las consecuencias de la exposición de estas credenciales son severas. Un atacante podría utilizar las cuentas de correo vinculadas al sitio para enviar mensajes fraudulentos utilizando la infraestructura y el dominio legítimo de la organización afectada, lo que compromete la reputación de la entidad y puede ser utilizado para campañas de phishing. Además, la lista de complementos y versiones expuestas facilita que los atacantes identifiquen otras vulnerabilidades presentes en el sitio para ejecutar ataques posteriores y más profundos.
Por su parte, CrowdSec informó que comenzó a detectar la explotación efectiva de este fallo el 27 de mayo. Para el 1 de junio, ya habían identificado 412 direcciones IP intentando aprovechar la vulnerabilidad, calificando esta actividad como parte del tráfico automatizado habitual de internet y no como una campaña dirigida a objetivos específicos.
Ante este escenario, la recomendación primordial es actualizar Gravity SMTP a la versión 2.1.5 o posterior de manera inmediata. Los administradores que hayan utilizado versiones vulnerables con integraciones de correo deben asumir que sus claves API, secretos y tokens podrían haber sido expuestos. Por ello, tras actualizar el plugin, es imperativo sustituir todas las credenciales desde el panel de cada proveedor de correo conectado.
Asimismo, se aconseja revisar minuciosamente los registros de acceso del servidor en busca de solicitudes dirigidas a la ruta /wp-json/gravitysmtp/v1/tests/mock-data, prestando especial atención a aquellas que incluyan el parámetro ?page=gravitysmtp-settings. Finalmente, los administradores deben examinar la actividad de sus servicios de correo para detectar cualquier envío, acceso o autenticación desconocida.
En cuanto a la clasificación del riesgo, Wordfence asignó a la vulnerabilidad una puntuación CVSS de 5,3 sobre 10, situándola en una gravedad media. No obstante, la National Vulnerability Database, a través de la base de avisos de GitHub, ha otorgado una puntuación de 7,5, clasificándola como alta. A pesar de esta discrepancia en la puntuación, la recomendación de actualización urgente se mantiene firme debido a la explotación activa y la sensibilidad de los datos expuestos.
