Plugin Gravity SMTP untuk WordPress sedang menjadi target serangan aktif. Celah ini bisa membocorkan data sensitif dari website.

Celah tersebut dilacak sebagai CVE-2026-4020. Tingkat risikonya masuk kategori medium dengan skor CVSS 5.3.

Namun, dampaknya tetap serius. Penyerang bisa mengambil API key, token OAuth, secret, dan detail konfigurasi website.

Apa Itu Gravity SMTP?

Gravity SMTP adalah plugin WordPress untuk mengatur pengiriman email. Plugin ini membantu website mengirim email lewat layanan pihak ketiga.

Contohnya adalah Amazon SES, Google, Mailjet, Resend, dan Zoho. Karena itu, plugin ini sering menyimpan kredensial penting.

Jika kredensial tersebut bocor, penyerang bisa menyalahgunakannya. Mereka dapat mengirim email memakai layanan yang terhubung ke website korban.

Bagaimana Celah Ini Terjadi?

Masalah ini berasal dari endpoint REST API yang tidak aman. Endpoint tersebut dapat diakses tanpa login.

Akibatnya, pengunjung yang tidak terautentikasi bisa mengambil data sistem. Data itu dapat berisi laporan lengkap tentang website.

Selain itu, laporan tersebut bisa memuat versi PHP, versi server, versi WordPress, plugin aktif, tema aktif, dan nama tabel database.

Lebih buruk lagi, laporan itu juga bisa memuat API key dan token layanan email.

Mengapa Risiko Ini Penting?

Celah ini tidak langsung merusak website. Namun, data yang bocor bisa membantu serangan lanjutan.

Sebagai contoh, penyerang bisa melihat versi plugin yang aktif. Setelah itu, mereka dapat mencari celah lain yang cocok.

Selain itu, API key yang bocor bisa dipakai untuk mengirim email palsu. Risiko ini dapat merusak reputasi domain.

Email palsu juga bisa dipakai untuk phishing. Jadi, dampaknya tidak berhenti pada website saja.

Versi yang Terdampak

Gravity SMTP versi 2.1.4 dan versi sebelumnya terdampak oleh celah ini.

Versi perbaikannya adalah Gravity SMTP 2.1.5. Karena itu, pemilik website harus segera melakukan update.

Jika update sudah dilakukan, langkah berikutnya tetap penting. Semua API key, secret, dan token email perlu diganti.

Serangan Sudah Terjadi Secara Aktif

Wordfence melaporkan serangan dalam jumlah besar. Lebih dari 17 juta percobaan eksploitasi telah diblokir.

Aktivitas mulai terlihat sejak awal Mei 2026. Kemudian, jumlah serangan naik tajam pada awal Juni.

Puncaknya terjadi pada 7 Juni 2026. Pada hari itu, Wordfence mencatat lebih dari 4 juta percobaan serangan dalam satu hari.

Apa yang Bisa Dicuri?

Penyerang bisa mengambil banyak informasi dari website. Informasi ini dapat membantu mereka memahami sistem korban.

Data yang mungkin bocor meliputi versi PHP, ekstensi PHP, versi web server, path document root, versi database, versi WordPress, daftar plugin, tema aktif, konfigurasi WordPress, nama tabel database, dan kredensial layanan email.

Namun, bagian paling berbahaya adalah kredensial email. API key dan token yang masih aktif bisa langsung disalahgunakan.

Apa yang Harus Dilakukan Pemilik Website?

Langkah pertama adalah update Gravity SMTP ke versi terbaru. Minimal, gunakan versi 2.1.5.

Setelah itu, ganti semua API key dan token yang terhubung ke plugin. Jangan hanya mengandalkan update plugin.

Selanjutnya, periksa log server. Cari request mencurigakan ke endpoint Gravity SMTP yang terkait dengan mock data.

Selain itu, cek aktivitas email. Perhatikan lonjakan pengiriman email, bounced email, atau laporan spam.

Langkah Pencegahan Tambahan

Pemilik website juga perlu menghapus kredensial yang tidak dipakai. Simpan hanya koneksi email yang benar-benar dibutuhkan.

Selain itu, batasi akses ke REST API jika memungkinkan. Gunakan firewall aplikasi web atau plugin keamanan yang tepercaya.

Audit plugin juga perlu dilakukan secara rutin. Hapus plugin yang tidak digunakan. Lalu, pastikan semua plugin selalu diperbarui.

Kesimpulan

Celah Gravity SMTP menunjukkan bahwa bug dengan skor medium tetap bisa berbahaya. Terutama jika bug tersebut membocorkan kredensial aktif.

Karena itu, pemilik website harus segera melakukan update. Setelah update, rotasi API key dan token juga wajib dilakukan.

Pada akhirnya, keamanan WordPress tidak cukup hanya dengan patch. Pemilik website juga perlu memantau log, mengelola plugin, dan melindungi kredensial dengan baik.

Source: https://thehackernews.com/2026/06/hackers-exploit-gravity-smtp-wordpress.html