Ciberseguridad

Post SMTP es un plugin de WordPress que muchas webs usan para enviar correos (para el restablecimiento de contraseñas o notificaciones, por ejemplo) y además guarda registros de esos emails. Tiene más de 400.000 instalaciones activas, así que cualquier fallo allí puede afectar a muchísimas webs. Y eso es, precisamente, lo que habría ocurrido. 

Investigadores de seguridad han encontrado que este añadido para el popular sistema de gestión de contenidos contaba con un error de autorización, permitiendo a atacantes no identificados leer los registros de correo del plugin. El fallo ha sido clasificado con el código CVE-2025-11833, con un CVSS cercano a 10. 

Entre estos emails, como decíamos, pueden aparecer correos de restablecimiento de contraseña que incluyen los enlaces necesarios para cambiar la clave de un administrador. Así, un actor de amenazas que acceda a estos links o un token podría secuestrar una cuenta de admin y tomar el control de la página sin demasiadas complicaciones. 

Campando a sus anchas los amigos de lo ajeno pueden instalar otros plugins maliciosos, inyectar código, crear puertas traseras, etc. 

De hecho, los cibermalos ya habrían hecho uso de esta falla de seguridad. Los investigadores han encontrado que los atacantes han empezado a explotar la vulnerabilidad, detectándose miles de tentativas. Una firma de seguridad estima que han bloqueado más de 4.500 intentos en sus clientes. 

Se estima que decenas de miles de páginas siguen afectadas y expuestas por esta grave brecha por no haber actualizado a la nueva versión. 

El fallo habría sido reportado por un investigador llamado Netranger a través del programa de recompensas por errores de Wordfence. Este recibió una recompensa de 7.800 dólares por el descubrimiento.

Cómo proceder ahora

Los impulsores de Post STMP sacaron un parche para corregir el problema el pasado día 29 de octubre, pero la versión 3.6.0 -y anteriores- del plugin siguen afectadas.

Se recomienda a los webmasters y administradores que tuvieran este añadido instalado que revisen los registros de acceso de WordPress y del propio plugin en busca de actividad extraña desde la fecha del parche hacia atrás.

También es recomendable cambiar las contraseñas de los usuarios administradores y usar claves únicas y robustas. 

Si se tienen sospechas de que una página ya ha sido comprometida se sugiere restaurar desde una copia de seguridad anterior al incidente y cambiar credenciales. Si no hay backup quizás sea necesaria la restauración desde el hosting.