Alerta de seguridad CVE-2026-4020 expone credenciales de correo en Gravity SMTP y afecta a 100,000 sitios WordPress

Una vulnerabilidad recientemente parcheada en el plugin Gravity SMTP para WordPress —identificada como CVE-2026-4020— ha dejado expuestas credenciales y configuraciones sensibles en aproximadamente 100.000 sitios, y los atacantes no han tardado en aprovecharla masivamente. El problema radica en un endpoint de la API REST que devolvía un informe del sistema completo cuando se invocaba con un parámetro concreto, sin ninguna verificación de permisos, lo que permitió a cualquier visitante no autenticado descargar JSON con detalles de la instalación y claves de terceros.

El riesgo real va más allá de una simple filtración: las claves y tokens expuestos de servicios de correo (Amazon SES, Google, Mailjet, Resend, Zoho, etc.) permiten a un atacante enviar correos en nombre del dominio afectado, impactando reputación, entregabilidad y la confianza de usuarios. Además, el informe del sistema filtrado incluye versiones de PHP, extensiones cargadas, plugins activos y nombres de tablas de la base de datos, información que facilita ataques posteriores más dirigidos, desde explotación de versiones antiguas hasta escalada dentro del servidor.

Los datos públicos del bloqueo de intentos muestran una campaña amplia y sostenida: plataformas de seguridad han reportado millones de peticiones contra ese endpoint en los últimos días, lo que implica que la ventana de riesgo fue aprovechada con rapidez. Si tu sitio usaba integraciones de correo en Gravity SMTP, es prudente asumir compromiso hasta que se demuestre lo contrario y actuar en consecuencia.

Las acciones inmediatas imprescindibles son actualizar el plugin a la versión corregida (2.1.5 o superior) y, de forma crítica, rotar o revocar todas las credenciales y tokens de terceros que estuvieran configurados en el plugin. No basta con actualizar: las credenciales filtradas pueden seguir en manos de atacantes que ya las hayan descargado. Contacta también con los proveedores de correo para solicitar revocación y emisión de claves nuevas con permisos mínimos.

Además de cambiar claves, revisa los registros del servidor y del sitio en busca de peticiones al endpoint afectado y de actividad inusual en horarios o volúmenes de correo saliente; presta especial atención a solicitudes provenientes de las direcciones IP que han sido asociadas a la campaña de explotación. Si encuentras indicios de uso indebido, aísla el sistema comprometido, cambia contraseñas administrativas de WordPress y revisa la creación de usuarios o tareas programadas no autorizadas.

Para reducir el riesgo futuro conviene aplicar medidas de endurecimiento: restringir el acceso a la API REST solo cuando sea necesario o añadir comprobaciones de permisos a endpoints custom, almacenar credenciales con alcance mínimo y fuera de la base de datos del sitio cuando sea posible, y proteger la gestión del correo con credenciales per-sitio y políticas de rotación periódica. Un firewall de aplicaciones web (WAF) puede bloquear patrones de explotación conocidos mientras se aplican parches, y las soluciones de seguridad para WordPress ayudan a detectar cambios no autorizados.

Desde una perspectiva de proveedor, las integraciones que usan claves de terceros deben diseñarse para minimizar impacto en caso de fuga: tokens con scopes limitados, caducidades cortas, logging detallado y alertas de uso atípico en el panel del proveedor. Si gestionas múltiples sitios, centralizar la gestión de secretos con herramientas dedicadas y habilitar autenticación multifactor en las cuentas de proveedores reduce la posibilidad de abuso tras una filtración.

Si necesitas comprobar la naturaleza técnica del fallo y ver recomendaciones oficiales, consulta la ficha del CVE y la documentación sobre seguridad de la API REST de WordPress. Para entender cómo se detectó y el alcance de la explotación masiva, las firmas de seguridad públicas han publicado análisis y bloqueos observados durante la campaña: CVE-2026-4020 en NVD y la documentación de la API REST de WordPress en developer.wordpress.org/rest-api. También es recomendable revisar los reportes de firmas de seguridad como Wordfence para indicadores de compromiso y patrones de explotación.

En resumen, actúa con urgencia: actualiza el plugin, rota las credenciales expuestas, revisa logs y busca signos de abuso. Tomar estas medidas reduce tanto el daño inmediato como la probabilidad de que la información filtrada sea usada como base para compromisos mayores en tu infraestructura web.