--- title: "Alerta WordPress: explotación activa de CVE-2025-11833 en Post SMTP — guía rápida, sin distracciones" description: "Ataque en curso. Una vulnerabilidad crítica en el plugin Post SMTP (más de 400.000 instalaciones) permite a atacantes secuestrar cuentas de administrador leyendo correos registrados por el propio plug..." url: https://wpdirecto.com/alerta-wordpress-explotacion-activa-de-cve-2025-11833-en-post-smtp-guia-rapida-sin-distracciones/ date: 2025-11-07 modified: 2026-09-09 author: "Editor WPDirecto" image: https://wpdirecto.com/wp-content/uploads/2017/02/vulnerabilidad-wp.jpg categories: ["Seguridad"] tags: ["SMTP", "vulnerabilidad"] type: post lang: es --- # Alerta WordPress: explotación activa de CVE-2025-11833 en Post SMTP — guía rápida, sin distracciones **Ataque en curso.** Una vulnerabilidad crítica en el plugin **Post SMTP** (más de **400.000** instalaciones) permite a atacantes **secuestrar cuentas de administrador** leyendo correos registrados por el propio plugin, incluidos los **mensajes de restablecimiento de contraseña**. El fallo (CVE-2025-11833, **CVSS 9,8**) afecta a **todas las versiones ≤ 3.6.0**. Existe parche en **3.6.1**; aun así, una parte sustancial de sitios sigue sin actualizar y ya se observan **campañas activas**. --- ## Qué ocurre y por qué es grave - **Origen del fallo**: ausencia de comprobaciones de autorización en el **constructor** de la clase que gestiona el **email log**. - **Impacto**: un atacante **no autenticado** puede **leer** correos almacenados por el plugin, **capturar enlaces de “reset”** y **cambiar contraseñas** de cuentas privilegiadas. - **Vector típico**: enumeración de IDs de log (secuenciales) hasta hallar **password resets** recientes. **Matiz importante**: tras el parche, los **emails de reseteo** pueden seguir **almacenándose** y, dependiendo de permisos internos, resultar **accesibles** a usuarios con bajo privilegio. Lo correcto es **no registrar** estos mensajes o **sanearlos** (eliminar enlaces y tokens) y **restringir** quién puede ver cualquier log. --- ## Cronología esencial - **11 de octubre**: reporte técnico recibido por un proveedor de seguridad. - **15 de octubre**: validación del exploit y notificación al autor del plugin. - **29 de octubre**: publicación del **parche 3.6.1**. - **Desde el 1 de noviembre**: **explotación activa** a escala. --- ## Prioridad 1: contención inmediata (15–30 minutos) 1. **Actualizar o desactivar** - Con WP-CLI: `wp plugin update post-smtp # Si no puede actualizar ya: wp plugin deactivate post-smtp` 2. **Purgar y acotar el email log** - Vacíe el registro del plugin y **reduzca a 0–1 días** la retención. - Deshabilite el **almacenamiento del cuerpo** de correos y, en particular, de **password resets**. 3. **Blindar cuentas privilegiadas** - **Cambie contraseñas** de administradores y editores y **active 2FA**. - **Invalide sesiones** rotando **salts**: `wp config shuffle-salts` 4. **Revisión de usuarios y sesiones** - Busque **admins desconocidos** o cambios sospechosos: `wp user list --role=administrator` - Compruebe **correos** y **roles** modificados en las últimas 72 horas. 5. **Endurecer acceso a logs** - Solo **administradores** con necesidad real deben ver registros. - Registre los accesos a la página de logs del plugin (si el WAF/EDR lo permite). --- ## Detección rápida de compromiso - **Indicadores inmediatos** - Restablecimientos de contraseña **no solicitados**. - **Usuarios admin** creados recientemente. - Conexiones desde **IPs inusuales** en ventanas de madrugada. - Cambios en correo de cuentas privilegiadas. - **Consultas y verificaciones útiles** - Revisar última actividad de cuentas críticas en su panel/DB. - Comparar listado de **plugins** y **tareas cron** con su línea base. - Inspeccionar el directorio **wp-content** en busca de ficheros PHP recién modificados. - **Si sospecha intrusión** - Rotar **todas** las contraseñas de privilegio. - Regenerar claves de la **API** y credenciales de **SMTP**. - Restituir ficheros alterados desde copia conocida y **aplicar hardening** de permisos. --- ## Lecciones operativas para que no vuelva a pasar - **Principio de mínimo registro**: lo que no se guarda, **no se filtra**. Evite almacenar cuerpos de correo; si es imprescindible, **anonimize enlaces** y **tokens**. - **Mínimo privilegio**: separar **lectura de logs** del rol de **administración** del sitio. - **Ventanas de actualización**: definir SLA internos; parches críticos **en horas**, no en días. - **2FA obligatorio** para todo el personal con acceso al panel. - **WAF** con reglas de protección a endpoints sensibles y alertas por **enumeración** de recursos. - **Backups verificados**: copias **inmutables** y pruebas de **restore** periódicas. --- ## Checklist ejecutivo (para pasar a Dirección) - Vulnerabilidad crítica **CVE-2025-11833** en **Post SMTP ≤ 3.6.0** permite **toma de control** por lectura de **email logs**. - **Parche 3.6.1** aplicado o **plugin desactivado**. - **Logs purgados**, **retención minimizada** y **reset emails excluidos/saneados**. - **Contraseñas rotadas**, **2FA** activada, **salts** regenerados y **admins** auditados. - **Monitorización** y **WAF** ajustados; sin evidencias de persistencia tras la revisión inicial. --- ### Nota final Aunque actualizar a **3.6.1** corta el vector principal, la **política de registro** y los **permisos** de visualización siguen siendo determinantes. Ajustar ambos hoy evita que el siguiente fallo derive, de nuevo, en **exposición de correos sensibles** y **secuestros de cuenta**. vía: [wordfence](https://www.wordfence.com/blog/2025/11/400000-wordpress-sites-affected-by-account-takeover-vulnerability-in-post-smtp-wordpress-plugin/)