Gli attaccanti stanno sfruttando in massa una vulnerabilità del plugin Gravity SMTP per WordPress che espone chiavi API, token OAuth e dati di configurazione dei sistemi a chiunque invii una singola richiesta HTTP non autenticata. La falla, identificata come CVE-2026-4020, riguarda un plugin installato su circa 100.000 siti e affligge tutte le versioni fino alla 2.1.4 inclusa.
Una porta lasciata aperta
Il problema nasce da un errore tanto banale quanto grave. Il plugin registra un endpoint REST API all'indirizzo /wp-json/gravitysmtp/v1/tests/mock-data con un controllo dei permessi (il cosiddetto permission_callback) che restituisce sempre e incondizionatamente "vero". In altre parole, chiunque, anche un visitatore anonimo, viene trattato come se fosse autorizzato.
Aggiungendo alla richiesta il parametro ?page=gravitysmtp-settings, il plugin popola i dati interni dei connettori e l'endpoint restituisce circa 365 KB di JSON contenenti il System Report completo. All'interno di quel report finiscono le chiavi API e i token OAuth attivi dei servizi di posta collegati, tra cui Amazon SES, Google, Mailjet, Resend e Zoho. Sono esattamente le credenziali che un attaccante desidera: permettono di inviare e-mail a nome del sito, alimentare campagne di phishing e, in alcuni casi, accedere ad altri servizi cloud.
Sfruttamento di massa
La portata dell'attività è notevole. Wordfence, la società di sicurezza WordPress di Defiant, ha dichiarato di aver bloccato oltre 17 milioni di tentativi di sfruttamento da quando l'attività è iniziata, all'inizio di maggio 2026. CrowdSec ha attivato la propria rilevazione per CVE-2026-4020 il 22 maggio e ha osservato il primo sfruttamento reale il 27 maggio; entro il 1° giugno l'attività era ormai classificata come "rumore di fondo", segno che era stata integrata nelle routine di scansione automatizzata che setacciano i siti WordPress su larga scala.
È la dinamica tipica delle falle di information disclosure facili da sfruttare: una volta che il metodo di attacco è pubblico e non richiede né credenziali né interazione, viene rapidamente assorbito nei toolkit automatici e applicato indiscriminatamente a ogni sito raggiungibile.
Cosa fare subito
La falla è stata corretta nella versione 2.1.5 di Gravity SMTP, rilasciata il 17 marzo 2026. Il fatto che gli attacchi proseguano a mesi di distanza dimostra quanto sia diffuso il ritardo nell'applicazione degli aggiornamenti tra i gestori di siti WordPress.
I proprietari di siti che eseguono una versione vulnerabile e che hanno configurato integrazioni di posta di terze parti dovrebbero considerarsi compromessi: dopo aver aggiornato il plugin all'ultima versione è indispensabile ruotare tutte le credenziali esposte, ossia rigenerare le chiavi API e i token OAuth dei servizi collegati. Aggiornare senza revocare le credenziali già trapelate lascerebbe infatti la porta aperta, perché quelle chiavi possono essere già finite nelle mani degli attaccanti. È inoltre buona prassi ispezionare i log di invio delle e-mail alla ricerca di attività anomale, possibile segnale di un abuso già in corso.
