WordPressプラグイン「Gravity SMTP」の脆弱性CVE-2026-4020が悪用——APIキー・OAuthトークンが漏洩
WordPressプラグイン「Gravity SMTP」の脆弱性CVE-2026-4020が悪用——APIキー・OAuthトークンが漏洩
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-06-21 |
| 元記事 | The Hacker News |
要約
約10万サイトで利用されているWordPressプラグイン「Gravity SMTP」に中程度の深刻度（CVSS 5.3）の脆弱性CVE-2026-4020が発見され、攻撃者による実際の悪用が確認された。未認証の攻撃者がプラグインの設定データ、APIキー、シークレット、OAuthトークンを取得できる情報漏洩の欠陥だ。メール送信設定に使われるプラグインの性質上、外部メールサービス（SendGrid、Mailgunなど）のAPIキーが流出する恐れがあり、フィッシングメールの大量送信や不正メール配信への悪用が懸念される。パッチはリリース済みのため、Gravity SMTPを使用するサイト管理者は速やかにアップデートを適用するとともに、既存のAPIキー・OAuthトークンを無効化・再発行することが推奨される。