Wordfence: חולשה ב-Gravity SMTP חושפת מפתחות דוא״ל ומנוצלת ב-17 מיליון ניסיונות
ב-19 ביוני 2026 דווח שתוקפים מנצלים את CVE-2026-4020 בתוסף Gravity SMTP, שפעיל בכ-100 אלף אתרי וורדפרס. הם קוראים מהאתר מפתחות של שירותי דוא״ל, בלי סיסמה.
TL;DR בקצרה
- CVE-2026-4020 בתוסף Gravity SMTP, בגרסאות 2.1.4 ומטה, מאפשרת לקרוא דוח מערכת בלי הזדהות.
- הדוח כולל מפתחות, סודות וטוקנים של שירותי דוא״ל כמו Amazon SES, Google, Mailjet, Resend ו-Zoho.
- לפי Wordfence, חומת האש שלה חסמה מעל 17 מיליון ניסיונות ניצול, עם שיא ב-7 ביוני.
- התיקון הוא גרסה 2.1.5, שיצאה ב-17 במרץ. מי שחשוף צריך גם להחליף את המפתחות.
חולשה בתוסף Gravity SMTP לוורדפרס מנוצלת בפועל, ומי שמגיע לאתר בלי סיסמה יכול לקרוא ממנו מפתחות של שירותי דוא״ל. BleepingComputer דיווח על כך ב-19 ביוני 2026, לפי נתוני Wordfence. התוסף פעיל בכ-100 אלף אתרים. החולשה, CVE-2026-4020, מדורגת בינונית, אבל המפתחות שהיא חושפת תקפים.
איך החולשה ב-Gravity SMTP חושפת דוח מערכת מלא
אתרי וורדפרס שולחים מייל דרך שירות חיצוני, כמו Amazon SES או Mailjet. Gravity SMTP מחבר את האתר לשירות כזה, ומחזיק את פרטי החיבור אליו.
הבעיה נמצאת בנקודת קצה של ה-REST API. הבדיקה שאמורה לאשר הרשאה תמיד עונה ״כן״. לכן כל בקשה GET בלי הזדהות מקבלת בחזרה ״דוח מערכת״ בפורמט JSON.
הדוח כולל מפתחות API, סודות וטוקנים של שירותי הדוא״ל שהוגדרו. הוא מכיל פרטי חיבור ל-Amazon SES, ל-Google, ל-Mailjet, ל-Resend ול-Zoho. נוסף על כך הוא חושף את הגדרות וורדפרס, כולל התוספים וגרסאות שלהם, פרטי השרת ו-PHP, ופרטי מסד הנתונים.
לפי BleepingComputer, תוקף יכול לנצל את שירותי הדוא״ל ולהתחזות לאתר מול אחרים. מי שמכיר את התוספים והגרסאות גם מתכנן בקלות מתקפה הבאה.
היקף הניצול של Gravity SMTP: 17 מיליון ניסיונות
לפי Wordfence, חומת האש שלה חסמה מעל 17 מיליון ניסיונות ניצול נגד הלקוחות המוגנים. הפעילות זינקה ב-7 ביוני, ובאותו יום נחסמו כ-4 מיליון בקשות. פעילות דומה נמשכה כמה ימים.
הפרצה פוגעת בגרסאות 2.1.4 ומטה. גרסה 2.1.5, עם התיקון, יצאה ב-17 במרץ. כלומר, השיא הגיע כמעט שלושה חודשים אחרי שהתיקון היה זמין.
מה הסיכון בפועל כשמפתחות דוא״ל נחשפים
הציון הבינוני מטעה. הוא מודד את הפגיעה הטכנית בתוסף, ולא את מה שאפשר לעשות עם המפתחות. מי שמחזיק מפתח של Amazon SES או של Mailjet יכול לשלוח מייל בשם הדומיין שלכם. למשל, הודעות פישינג שנראות כמו הודעות מהאתר.
יש גם נזק עקיף. שליחה המונית דרך החשבון שלכם עלולה לפגוע במוניטין של הדומיין, והודעות אמיתיות ייפלו לספאם. היא עלולה לייצר חיוב אצל הספק. אלה תרחישים אפשריים, ולא ממצאים של Wordfence.
זו דוגמה לחולשה שנראית קטנה. היא לא מריצה קוד ולא משתלטת על האתר. אבל מפתחות דוא״ל הם דלת כניסה לשירותים אחרים, והם נשארים תקפים עד שמישהו מחליף אותם.
בהחלפת מפתח כדאי לפעול בסדר מסוים. יוצרים מפתח חדש אצל הספק, מעדכנים אותו בהגדרות התוסף ובודקים ששליחה עובדת. רק אחר כך מוחקים את המפתח הישן. כך לא מאבדים הודעות בדרך.
BleepingComputer מזכיר באותו דיווח חולשה נוספת, בתוסף Avada Builder. CVE-2026-8713 היא חולשה קריטית שמאפשרת למחוק קבצים בלי הזדהות. היא תוקנה בגרסה 3.15.4, ולפי הדיווח עדיין לא נצפה ניצול שלה.
מה זה אומר עבורכם
- עדכנו מיד: עברו ל-Gravity SMTP 2.1.5 ומעלה, בכל אתר שבו התוסף מותקן, כולל אתרי לקוחות.
- חפשו ביומנים: בדקו בקשות ל-/wp-json/gravitysmtp/v1/tests/mock-data, במיוחד עם הפרמטר page=gravitysmtp-settings. זה סימן הניצול ש-BleepingComputer מציין.
- החליפו מפתחות: אם הייתה חשיפה אפשרית, צרו מפתחות חדשים ב-Amazon SES, ב-Google, ב-Mailjet, ב-Resend וב-Zoho, ומחקו את הישנים.
- בדקו את השירות: חפשו אצל ספק הדוא״ל נפח שליחה חריג או הודעות שלא שלחתם. זו המלצה שלנו, לא של Wordfence.
- חסמו כתובות: Wordfence מפרסמת את כתובות ה-IP הפעילות ביותר. אפשר להוסיף אותן לרשימת החסימה.
מקורות והרחבה
- Hackers exploit info disclosure bug in Gravity SMTP WordPress pluginBleepingComputer
- Attackers actively exploiting sensitive information exposure vulnerability in Gravity SMTP pluginWordfence
- Gravity SMTP plugin vulnerability exploited on WordPressThaiCERT
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
