A falha Post SMTP, identificada como CVE-2025-24000, está colocando mais de 200 mil sites WordPress em risco de sequestro de contas de administrador. O problema afeta diretamente um dos plugins de envio de e-mails mais populares da plataforma, o Post SMTP, utilizado amplamente para garantir a entrega confiável de mensagens transacionais.
Neste artigo, você vai entender como essa vulnerabilidade crítica funciona, como ela pode ser explorada por invasores e, principalmente, o que você precisa fazer agora mesmo para proteger seu site WordPress. A falha já possui correção, mas um número alarmante de usuários ainda não atualizou o plugin, permanecendo completamente exposto a ataques.
A seguir, explicamos detalhadamente como a falha funciona, quem está em risco, e oferecemos um guia prático para identificar e corrigir a vulnerabilidade imediatamente.
O que é a falha CVE-2025-24000 no Post SMTP?
O Post SMTP é um plugin utilizado por mais de 400 mil sites WordPress para gerenciar e melhorar o envio de e-mails, substituindo as funções nativas de correio da plataforma por serviços mais confiáveis como Gmail, SendGrid e Amazon SES.
A falha CVE-2025-24000 é classificada como um caso de controle de acesso quebrado na API REST do plugin. Em outras palavras, o sistema verificava apenas se o usuário estava autenticado, sem validar o nível de permissão. Isso significa que mesmo usuários com permissões mínimas — como Assinantes — podiam acionar funcionalidades perigosas, normalmente restritas a administradores.
Como o ataque funciona na prática
Na prática, um invasor precisa apenas de uma conta comum no site WordPress, o que pode ser obtido por meio de um registro público ou phishing. Com isso, ele pode:
- Acionar a funcionalidade de redefinição de senha para a conta de um administrador.
- Através da função get_logs_permission, o invasor acessa os logs de e-mails enviados, incluindo o link de redefinição de senha.
- Utilizando esse link, ele redefine a senha da conta administrativa e assume o controle total do site.
Esse ataque pode ocorrer de forma silenciosa, sem levantar suspeitas imediatas, e tem potencial devastador, permitindo que o invasor modifique conteúdo, instale malwares ou até exclua o site.
Quais versões do plugin são afetadas
Todas as versões do Post SMTP até a 3.2.0 estão vulneráveis à CVE-2025-24000. A falha foi corrigida na versão 3.3.0, lançada em 11 de junho de 2025.
No entanto, dados indicam que metade dos usuários do plugin ainda não aplicaram a atualização, mantendo seus sites em risco.
Passo a passo: Como verificar e proteger seu site agora mesmo
A seguir, você encontra um guia direto e prático para descobrir se seu site está vulnerável e aplicar a correção necessária.
Verificando a versão do seu plugin Post SMTP
- Acesse o painel do seu WordPress.
- No menu lateral, clique em Plugins > Plugins instalados.
- Procure por Post SMTP na lista.
- Observe a versão exibida abaixo do nome do plugin.
Se a versão for 3.2.0 ou inferior, o seu site está vulnerável.
Atualizando para a versão segura (3.3.0 ou superior)
Se seu plugin estiver desatualizado, siga estes passos:
- Você verá um aviso abaixo do plugin com o link “Atualizar agora”. Clique nele.
- Aguarde a atualização ser concluída.
- Como prática recomendada, faça um backup completo do site antes de atualizar qualquer plugin. Isso garante a recuperação em caso de falhas inesperadas.
A nova versão corrige completamente a falha e adiciona validações extras na API REST, limitando o acesso aos logs apenas para usuários com permissão de administrador.
O perigo silencioso dos plugins desatualizados
A falha Post SMTP é mais um exemplo de como plugins desatualizados representam o principal vetor de ataques em sites WordPress. Estatísticas recentes mostram que cerca de 25% dos usuários ainda utilizam versões antigas da linha 2.x do Post SMTP, que estão expostas a múltiplas falhas conhecidas.
Vale lembrar que o núcleo do WordPress raramente é o ponto de entrada em ataques. A verdadeira vulnerabilidade está na negligência com a manutenção de plugins e temas de terceiros, especialmente os mais populares.
Conclusão: Não espere, verifique seu site hoje
A vulnerabilidade Post SMTP é grave, simples de explorar e tem potencial para comprometer totalmente um site WordPress. A boa notícia é que a solução é rápida e está ao alcance de todos os administradores.
Não espere que seu site seja invadido. Verifique agora a versão do seu plugin Post SMTP e atualize para a 3.3.0 ou superior. Além disso, compartilhe este alerta com colegas, amigos e clientes que usam WordPress. Manter a comunidade informada é o primeiro passo para fortalecer a segurança de toda a web.
