Nonostante la sua classificazione di gravità “media”, la falla nel plugin Gravity SMTP permette a chiunque di accedere, senza alcuna autenticazione, a chiavi API e credenziali di posta elettronica, trasformando i siti in potenziali veicoli per spam e phishing.
[In pillole] La sintesi per chi va di fretta:
Una grave vulnerabilità nel plugin WordPress Gravity SMTP sta mettendo a rischio circa 100.000 siti. Sfruttando la falla, gli aggressori possono accedere senza autenticazione a dati sensibili come chiavi API e credenziali email. Nonostante sia disponibile una patch da marzo, milioni di attacchi vengono registrati quotidianamente, evidenziando l'urgenza di aggiornare e revocare le credenziali compromesse.
Una vulnerabilità in un plugin di WordPress sta esponendo i dati di decine di migliaia di siti
Un diffuso plugin per WordPress, Gravity SMTP, è al centro di una campagna di attacchi informatici su larga scala. Gli aggressori stanno sfruttando una falla di sicurezza che permette di accedere a informazioni sensibili senza alcuna autenticazione, mettendo a rischio i dati di circa 100.000 siti web che non hanno ancora installato un aggiornamento di sicurezza distribuito lo scorso marzo.
Sebbene la vulnerabilità sia stata classificata ufficialmente con una gravità “media”, le sue conseguenze sono tutt’altro che trascurabili: con una singola richiesta, chiunque può ottenere chiavi API, token di autenticazione e un resoconto dettagliato della configurazione tecnica del sito.
Il problema risiede nel modo in cui il plugin gestisce l’accesso a una specifica funzione, un errore di programmazione apparentemente piccolo ma con implicazioni notevoli. Gli esperti di sicurezza informatica sottolineano come una singola richiesta non autenticata possa esporre le credenziali di servizi di posta elettronica di terze parti, trasformando un semplice sito web in un potenziale veicolo per campagne di spam o phishing.
Questo dettaglio cambia completamente la percezione del rischio, perché il danno non si limita al sito compromesso, ma si estende alla sua reputazione e alla sicurezza dei suoi utenti. La dinamica di questi attacchi, semplici e automatizzati, solleva ancora una volta interrogativi sulla sicurezza generale dell’ambiente WordPress, dove la popolarità di un componente aggiuntivo può trasformarsi rapidamente in un vasto fronte di vulnerabilità.
Una falla semplice con conseguenze sproporzionate
La vulnerabilità, identificata con il codice CVE-2026-4020, riguarda tutte le versioni di Gravity SMTP fino alla 2.1.4 e ha ricevuto un punteggio di gravità (CVSS) di 5.3, considerato medio. Secondo le analisi tecniche, l’origine del problema è un endpoint dell’API REST di WordPress registrato dal plugin.
In termini più semplici, si tratta di una “porta” software che dovrebbe essere protetta da un controllo di accesso. In questo caso, la funzione incaricata di verificare i permessi (permission_callback) era stata programmata per restituire sempre un esito positivo, true, consentendo di fatto a chiunque, anche a un visitatore anonimo, di accedere ai dati che quella porta proteggeva.
Non veniva eseguito alcun controllo per verificare se la richiesta provenisse da un utente autorizzato.
Un avviso di sicurezza pubblicato su GitHub specifica che l’endpoint vulnerabile, una volta interrogato con un parametro specifico, restituisce un “System Report“, ovvero un resoconto completo del sistema.
– Leggi anche: Come un ricercatore ha usato l’IA per guadagnare 500mila dollari da Google
Si tratta di un file in formato JSON di circa 365 KB che contiene un’enorme quantità di informazioni: chiavi API e token OAuth per i servizi di posta elettronica collegati, le credenziali del server SMTP (host, porta, nome utente e password), le versioni di PHP e del server web, la versione di WordPress, l’elenco dei plugin attivi con le relative versioni, il tema in uso e numerosi dettagli sul database.
In pratica, un aggressore può ottenere una mappa dettagliata dell’infrastruttura tecnica del sito con una singola richiesta HTTP, senza bisogno di possedere un account o di superare alcuna barriera di sicurezza.
Questa falla espone non solo le credenziali per inviare email a nome del dominio compromesso, ma fornisce anche un inventario completo di tutto il software installato, una risorsa preziosa per pianificare attacchi futuri sfruttando altre eventuali vulnerabilità note.
Milioni di attacchi e una seconda vulnerabilità
La scoperta della falla è attribuita a Defiant, la società che sviluppa il noto firewall per WordPress Wordfence. Dopo aver segnalato privatamente il problema agli sviluppatori di Gravity SMTP, una versione corretta del plugin, la 2.1.5, è stata rilasciata il 17 marzo 2026.
Tuttavia, come spesso accade, l’adozione dell’aggiornamento da parte degli amministratori dei siti è stata lenta.
Wordfence, la società di sicurezza che per prima ha identificato il problema, ha segnalato di aver bloccato oltre 17 milioni di tentativi di attacco, con un picco di circa 4 milioni di richieste in un solo giorno, il 7 giugno.
Questi dati mostrano come, una volta resa pubblica la vulnerabilità, gli aggressori si siano mossi rapidamente per sfruttarla in modo massiccio e automatizzato.
A complicare ulteriormente la situazione, la stessa versione del plugin è affetta da una seconda vulnerabilità, tracciata come CVE-2026-4162 e documentata dalla società di sicurezza SentinelOne.
Questo secondo problema, classificato come “Missing Authorization”, permette a un utente con privilegi minimi, come un semplice iscritto al sito, di disattivare o disinstallare il plugin e cancellarne le impostazioni.
L’attacco può avvenire anche tramite Cross-Site Request Forgery (CSRF), una tecnica con cui un utente autenticato viene indotto con l’inganno a eseguire azioni indesiderate semplicemente visitando una pagina web malevola.
Gravity Forms, l’azienda che produce sia il popolare plugin per la creazione di moduli sia Gravity SMTP, ha risolto anche questa falla nella stessa versione 2.1.5.
Non è la prima volta che Gravity Forms si trova a gestire problemi di sicurezza: nel 2025, l’azienda aveva comunicato un incidente in cui alcuni dei suoi pacchetti software erano stati modificati per includere codice malevolo, sollevando dubbi sulla sicurezza della sua catena di distribuzione.
Sebbene i due episodi non siano tecnicamente correlati, contribuiscono a creare un quadro di preoccupazione sulla robustezza dei prodotti di un fornitore così importante nel mondo WordPress.
Il vero problema della sicurezza su WordPress
L’incidente di Gravity SMTP non è un caso isolato, ma si inserisce in una tendenza più ampia che riguarda la sicurezza di WordPress. La piattaforma di per sé è considerata ragionevolmente sicura, ma la sua immensa flessibilità dipende da un vasto assortimento di plugin e temi sviluppati da terze parti, che rappresentano da sempre l’anello debole della catena.
Secondo il report “WordPress Security Ecosystem” di Patchstack del 2025, il 97,1% delle vulnerabilità scoperte nel 2024 si trovava in plugin e temi, non nel software principale di WordPress. La maggior parte di queste (circa il 61,5%) era classificata di gravità “media”, una categoria che, come dimostra il caso di Gravity SMTP, può includere falle facili da sfruttare con conseguenze molto serie.
Le raccomandazioni degli esperti di sicurezza, come descritto da diverse testate tra cui BleepingComputer, vanno oltre il semplice aggiornamento del software. Il consiglio principale è di agire partendo dal presupposto che le credenziali di posta elettronica siano già state compromesse. Questo significa che chiunque utilizzi Gravity SMTP dovrebbe non solo installare la versione 2.1.5 o successiva, ma anche revocare e rigenerare tutte le chiavi API, i token e le password associate ai servizi di posta elettronica configurati nel plugin.
Ignorare questo passaggio significa lasciare una potenziale porta di accesso aperta agli aggressori, anche dopo aver chiuso la falla originale. È un promemoria concreto di quanto la qualità del codice alla base di ogni componente conti, e di come affidarsi a software su misura sviluppato con controlli di accesso verificati possa ridurre significativamente questo tipo di esposizione.
L’episodio evidenzia ancora una volta la tensione tra la valutazione formale del rischio, espressa da un punteggio come il CVSS, e l’impatto pratico di una vulnerabilità. Una falla che non richiede autenticazione e che espone credenziali operative, per quanto classificata “media”, diventa un obiettivo primario per attacchi automatizzati su vasta scala, dimostrando come nel contesto di WordPress anche le vulnerabilità apparentemente minori non possano essere sottovalutate.
