Vulnerabilidad Gravity SMTP: Hackers roban claves API en 100,000 sitios WordPress

La comunidad de ciberseguridad global ha encendido las alarmas tras detectar una campaña coordinada y masiva que explota de forma activa una delicada vulnerabilidad Gravity SMTP. Registrada bajo el identificador CVE-2026-4020, esta falla está permitiendo a actores de amenazas recolectar de manera automatizada claves de API de terceros, tokens de autenticación OAuth y reportes detallados de configuración interna en más de 100,000 sitios web basados en WordPress. El plugin afectado, desarrollado por la firma RocketGenius para enrutar de forma segura correos electrónicos salientes a través de servidores de mensajería externos, se ha convertido en el epicentro de un barrido automatizado que ya supera los 17 millones de intentos de explotación detectados por empresas de seguridad.

Aunque inicialmente se le asignó una severidad moderada en términos teóricos (con una puntuación CVSS de 5.3 por parte de algunos sistemas de clasificación, pero elevada a 7.5 por otros analistas debido al impacto práctico), la realidad del campo de batalla digital demuestra que los atacantes han encontrado una mina de oro. La exposición involuntaria de credenciales de servicios empresariales como Amazon SES, Google, Mailjet, Resend y Zoho otorga a los ciberdelincuentes la capacidad de suplantar ident