Junio 2026 acumula cuatro vulnerabilidades críticas en plugins WordPress, con Gravity SMTP en plena explotación masiva. Te resumimos qué tocar.
Si mayo dejó a WordPress respirando, junio ha apretado el acelerador. Cuatro vulnerabilidades críticas en plugins muy instalados, una de ellas con explotación masiva activa que ha disparado las alarmas de Wordfence con cuatro millones de peticiones bloqueadas en un solo día. La buena noticia es que casi todo tiene parche disponible; la mala es que el reloj corre desde el momento en que el aviso es público.
Lo que está pasando este junio en cifras
El mes arrancó con la entrada en producción de varios parches que llevaban semanas en el horno y enseguida llegaron los avisos de campo. Wordfence ha desplegado a lo largo de junio reglas de firewall para usuarios free de tres vulnerabilidades con CVSS 9,8, ampliando la protección que sus clientes premium ya tenían desde mayo. Patchstack, por su parte, mantiene el pulso semanal con cifras parecidas a las del mes anterior: entre 100 y 250 vulnerabilidades nuevas cada semana, la inmensa mayoría en plugins.
El dato más llamativo del mes lo pone Gravity SMTP. La campaña de explotación de su fallo, parcheado en marzo, se industrializó a finales de mayo y estalló los días 6 y 7 de junio: más de cuatro millones de peticiones bloqueadas en 24 horas, según BleepingComputer. Acumulado total en lo que llevamos de campaña: 17 millones de intentos.
Vulnerabilidades destacadas del mes
- Gravity SMTP (CVE-2026-4020): exposición de claves API y tokens. Un endpoint REST sin comprobación de permisos devolvía 365 KB de JSON con todo el report del sistema: credenciales de Amazon SES, Google, Mailjet, Resend, Zoho. El parche está en la 2.1.5 desde marzo, pero la explotación a gran escala ha llegado en junio. Si has corrido versión vulnerable con integraciones de email configuradas, asume compromiso y rota credenciales. Análisis técnico en Patchstack.
- Kirki (CVE-2026-8206): toma de control de admin en 500.000 sitios. CVSS 9,8. Un fallo en el mecanismo de reset de contraseña permite a un atacante no autenticado redirigir el correo de recuperación a una cuenta propia y entrar como administrador. Wordfence confirma explotación activa con docenas de ataques bloqueados por día. Versiones afectadas: 6.0.0 a 6.0.6. Parche en 6.0.7. Unos 150.000 sitios siguen vulnerables al cierre de esta nota.
- Avada Builder (CVE-2026-8713): borrado arbitrario de ficheros en 1 millón de instalaciones. CVSS 9,1. Un path traversal en la limpieza de privacidad del form builder permite borrar cualquier archivo del servidor sin autenticación. Borrar wp-config.php fuerza al WordPress al modo instalación y abre la puerta a una toma de control total. Requiere tener un formulario Avada con guardado en base de datos activo. La versión segura, la 3.15.4, salió el 2 de junio.
- Burst Statistics (CVE-2026-8181): bypass de autenticación. CVSS 9,8. Un fallo en la integración con MainWP permite hacerse pasar por administrador sin credenciales válidas. Afecta a las versiones 3.4.0 a 3.4.1.1; parche en la 3.4.2. Wordfence desplegó la regla para usuarios free el 7 de junio.
Qué tocar esta semana
Cuatro movimientos concretos, por orden de urgencia:
- Si tienes Gravity SMTP, confirma versión 2.1.5 o superior. Si en algún momento corriste anterior con integraciones de email configuradas, rota las claves API y los tokens OAuth de cualquier servicio conectado, y revisa los logs del proveedor en busca de envíos raros.
- Si tienes Kirki, salta directamente a 6.0.7 y audita la lista de usuarios administrador. Si aparece alguien que no reconoces creado en los últimos 30 días, asume intrusión y actúa en consecuencia.
- Si tienes Avada o el tema Avada (que incluye Avada Builder por defecto), instala la 3.15.4. Mientras no lo hagas, desactiva cualquier formulario Avada con guardado en base de datos.
- Si tienes Burst Statistics, actualiza a 3.4.2 o superior.
El patrón del mes es claro: tres de las cuatro vulnerabilidades llevan parche desde mayo, pero la explotación masiva ha llegado en junio. Entre el parche y el aviso público hay una ventana corta; entre el aviso público y los escáneres automatizados, todavía menor. Si actualizar a tiempo te parece un trabajo silencioso pero constante, es porque lo es. En BlindajeWeb lo hacemos por ti, todos los meses, sin que tengas que abrir un panel. Echa un vistazo a blindajeweb.com.
