Come ormai ripetiamo da anni su questo blog, la sicurezza dei plugin per WordPress rappresenta oggi uno dei pilastri fondamentali per garantire l’integrità di un ecosistema che alimenta una vasta porzione dei siti di tutto il mondo. Nonostante la facilità d’uso e la flessibilità offerta da questi componenti aggiuntivi, ogni estensione installata introduce potenzialmente una superficie di attacco aggiuntiva che deve essere gestita con estrema cautela. Spesso la convenienza di integrare nuove funzionalità viene anteposta alla necessaria valutazione del rischio, rendendo siti web complessi e ben strutturati vulnerabili a causa di singoli elementi software poco protetti o non aggiornati, dimostrando quanto la catena della sicurezza sia forte soltanto quanto il suo anello più debole. Anche in questo caso, il concetto che ripetiamo da tempo non è quello di fare la guerra senza quartiere ai plugin tout-court, ma quantomeno di saperli scegliere e valutare in corso d’opera, correndo ai ripari e sostituendoli nel caso in cui gli sviluppatori non fossero proattivi nella gestione delle vulnerabilità che vengono riscontrate.
Il recente caso che ha colpito il plugin Gravity SMTP è una chiara dimostrazione di come una falla di programmazione apparentemente tecnica possa trasformarsi in una minaccia concreta per migliaia di installazioni. La vulnerabilità, tracciata come CVE-2026-4020, era presente in tutte le versioni del plugin fino alla 2.1.4 e riguarda un problema di possibile esposizione di informazioni sensibili che permette ad attaccanti non autenticati di ottenere dati riservati attraverso un endpoint dell’API REST. Invece di richiedere le necessarie autorizzazioni, la funzione di callback del plugin restituiva erroneamente un valore positivo, spalancando le porte a chiunque volesse interrogare il server alla ricerca di configurazioni di sistema dettagliate. L’enorme problema, in questo caso, non riguarda la vulnerabilità, ma il tempo che è intercorso dalla sua scoperta, poiché sono passati ormai quasi tre mesi ed in giugno è stato riscontrato un alto picco di tentativi (4 milioni il solo 4 giugno scorso) di sfruttamento della stessa, cosa che in marzo, aprile e maggio ancora non era avvenuta. La patch di sicurezza, diffusa a partire dalla versione 2.1.5 del marzo scorso è disponibile ma a quanto pare ciò non è sufficiente a far sì che i proprietari ed i gestori dei siti che usano Gravity SMTP si cautelino installandola.
Le conseguenze di questo exploit, oltretutto, vanno ben oltre la semplice fuga di informazioni tecniche, come la versione di PHP o i percorsi del server. L’attaccante che sfrutta tale falla ottiene infatti un report di sistema completo che può includere credenziali SMTP, chiavi API e token di integrazione in testo chiaro. Questo scenario permette ai criminali informatici non solo di mappare l’infrastruttura del sito vittima per pianificare ulteriori attacchi mirati, ma anche di compiere azioni dirette come l’invio di email di phishing o spam utilizzando il server di posta legittimo dell’azienda, superando facilmente i filtri di sicurezza e danneggiando gravemente la reputazione del dominio. L’attività di sfruttamento rilevata è diventata intensa, passando da attacchi mirati da parte di ricercatori o attori isolati a una condizione di rumore di fondo costante nel panorama delle minacce online. Con oltre 100.000 installazioni attive, la platea di siti esposti è estremamente vasta, portando i servizi di sicurezza a registrare milioni di tentativi di violazione bloccati dai firewall. La facilità con cui un utente non autenticato può estrarre questi dati, semplicemente inviando una richiesta, rende questa vulnerabilità un bersaglio privilegiato per script automatizzati che scansionano costantemente la rete alla ricerca di installazioni non ancora corrette.
Questa vicenda deve fungere da monito per tutti gli amministratori di sistema e i gestori di siti web, sottolineando l’importanza vitale di mantenere una strategia di aggiornamento rigorosa. La patch risolutiva rilasciata dal fornitore è il primo passo indispensabile, ma la sicurezza non termina con l’installazione dell’ultima versione; è fondamentale procedere immediatamente con la rotazione di tutte le credenziali SMTP e delle chiavi API che potrebbero essere state compromesse durante il periodo di esposizione. Proteggere un sito non significa solo installare plugin, ma monitorare costantemente le vulnerabilità, adottare soluzioni di firewall applicativo e mantenere una cultura della manutenzione che tratti la sicurezza come un processo continuo piuttosto che come una configurazione statica. Tornando all’assunto di base, nel caso in esame i produttori del plugin Gravity SMTP non si sono dimostrati scarsamente proattivi quando si è trattato di diffondere una versione contenente una patch, ma sono stati gli utenti finali coloro che hanno potenzialmente messo a rischio una lunghissima trafila di siti web che utilizzano questo plugin.
Fonte: 1
