Ataque en curso. Una vulnerabilidad crítica en el plugin Post SMTP (más de 400.000 instalaciones) permite a atacantes secuestrar cuentas de administrador leyendo correos registrados por el propio plugin, incluidos los mensajes de restablecimiento de contraseña. El fallo (CVE-2025-11833, CVSS 9,8) afecta a todas las versiones ≤ 3.6.0. Existe parche en 3.6.1; aun así, una parte sustancial de sitios sigue sin actualizar y ya se observan campañas activas.

Qué ocurre y por qué es grave

• Origen del fallo: ausencia de comprobaciones de autorización en el constructor de la clase que gestiona el email log.
• Impacto: un atacante no autenticado puede leer correos almacenados por el plugin, capturar enlaces de “reset” y cambiar contraseñas de cuentas privilegiadas.
• Vector típico: enumeración de IDs de log (secuenciales) hasta hallar password resets recientes.

Matiz importante: tras el parche, los emails de reseteo pueden seguir almacenándose y, dependiendo de permisos internos, resultar accesibles a usuarios con bajo privilegio. Lo correcto es no registrar estos mensajes o sanearlos (eliminar enlaces y tokens) y restringir quién puede ver cualquier log.

Cronología esencial

• 11 de octubre: reporte técnico recibido por un proveedor de seguridad.
• 15 de octubre: validación del exploit y notificación al autor del plugin.
• 29 de octubre: publicación del parche 3.6.1.
• Desde el 1 de noviembre: explotación activa a escala.

Prioridad 1: contención inmediata (15–30 minutos)

1. Actualizar o desactivar
   • Con WP-CLI: wp plugin update post-smtp # Si no puede actualizar ya: wp plugin deactivate post-smtp
2. Purgar y acotar el email log
   • Vacíe el registro del plugin y reduzca a 0–1 días la retención.
   • Deshabilite el almacenamiento del cuerpo de correos y, en particular, de password resets.
3. Blindar cuentas privilegiadas
   • Cambie contraseñas de administradores y editores y active 2FA.
   • Invalide sesiones rotando salts: wp config shuffle-salts
4. Revisión de usuarios y sesiones
   • Busque admins desconocidos o cambios sospechosos: wp user list --role=administrator
   • Compruebe correos y roles modificados en las últimas 72 horas.
5. Endurecer acceso a logs
   • Solo administradores con necesidad real deben ver registros.
   • Registre los accesos a la página de logs del plugin (si el WAF/EDR lo permite).

Detección rápida de compromiso

• Indicadores inmediatos
  • Restablecimientos de contraseña no solicitados.
  • Usuarios admin creados recientemente.
  • Conexiones desde IPs inusuales en ventanas de madrugada.
  • Cambios en correo de cuentas privilegiadas.
• Consultas y verificaciones útiles
  • Revisar última actividad de cuentas críticas en su panel/DB.
  • Comparar listado de plugins y tareas cron con su línea base.
  • Inspeccionar el directorio wp-content en busca de ficheros PHP recién modificados.
• Si sospecha intrusión
  • Rotar todas las contraseñas de privilegio.
  • Regenerar claves de la API y credenciales de SMTP.
  • Restituir ficheros alterados desde copia conocida y aplicar hardening de permisos.

Lecciones operativas para que no vuelva a pasar

• Principio de mínimo registro: lo que no se guarda, no se filtra. Evite almacenar cuerpos de correo; si es imprescindible, anonimize enlaces y tokens.
• Mínimo privilegio: separar lectura de logs del rol de administración del sitio.
• Ventanas de actualización: definir SLA internos; parches críticos en horas, no en días.
• 2FA obligatorio para todo el personal con acceso al panel.
• WAF con reglas de protección a endpoints sensibles y alertas por enumeración de recursos.
• Backups verificados: copias inmutables y pruebas de restore periódicas.

Checklist ejecutivo (para pasar a Dirección)

• Vulnerabilidad crítica CVE-2025-11833 en Post SMTP ≤ 3.6.0 permite toma de control por lectura de email logs.
• Parche 3.6.1 aplicado o plugin desactivado.
• Logs purgados, retención minimizada y reset emails excluidos/saneados.
• Contraseñas rotadas, 2FA activada, salts regenerados y admins auditados.
• Monitorización y WAF ajustados; sin evidencias de persistencia tras la revisión inicial.

Nota final

Aunque actualizar a 3.6.1 corta el vector principal, la política de registro y los permisos de visualización siguen siendo determinantes. Ajustar ambos hoy evita que el siguiente fallo derive, de nuevo, en exposición de correos sensibles y secuestros de cuenta.

vía: wordfence