Alerte de sécurité CVE-2026-4020 expose les identifiants de courrier à Gravity SMTP et affecte 100 000 sites WordPress

Une vulnérabilité récemment garée dans le plugin Gravity SMTP pour WordPress - identifié comme CVE-2026-4020- a exposé des références et des configurations sensibles dans environ 100 000 sites, et les attaquants n'ont pas pris longtemps pour en profiter massivement. Le problème réside dans un point final de l'API REST qui a retourné un rapport système complet lorsqu'il a été invoqué avec un paramètre spécifique, sans vérification de permis, qui a permis à tout visiteur non authentifié de télécharger JSON avec les détails d'installation et les clés tierces.

Le risque réel va au-delà d'une simple fuite : les clés exposées et les jetons des services de courrier (Amazon SES, Google, Mailjet, Resend, Zoho, etc.) permettent à un attaquant d'envoyer des emails au nom du domaine touché, impactant la réputation, la livraison et la confiance de l'utilisateur. De plus, le rapport système filtré comprend des versions PHP, des extensions chargées, des plugins actifs et des noms de table de base de données, des informations qui facilitent les attaques ultérieures plus ciblées, des anciennes versions à l'escalade dans le serveur.

Les données publiques du bloc de tentative montrent une campagne étendue et soutenue: les plateformes de sécurité ont signalé des millions de demandes par rapport à ce paramètre ces derniers jours, ce qui signifie que la fenêtre de risque a été rapidement utilisée. Si votre site a utilisé des intégrations de courrier sur Gravity SMTP, il est prudent de s'engager jusqu'à preuve du contraire et agir en conséquence.

Les actions immédiates nécessaires sont de mettre à jour le plugin vers la version corrigée (2.1.5 ou plus) et, critiquement, de faire pivoter ou de révoquer tous les identifiants et jetons tiers qui ont été configurés dans le plugin. Il ne suffit pas de mettre à jour : les identifiants filtrés peuvent rester entre les mains des attaquants qui les ont déjà téléchargés. Contactez également les fournisseurs de courrier pour demander la révocation et la délivrance de nouvelles clés avec des permissions minimales.

En plus de modifier les clés, vérifier les dossiers du serveur et du site pour les demandes au point final touché et l'activité inhabituelle dans les temps ou les volumes de courrier sortant; prêter une attention particulière aux demandes d'adresses IP qui ont été associées à la campagne d'exploitation. Si vous trouvez des signes d'abus, isolez le système compromis, changez les mots de passe administratifs WordPress et revoyez la création d'utilisateurs non autorisés ou de tâches programmées.

Pour réduire les risques futurs, il est approprié d'appliquer des mesures de resserrement : limiter l'accès à l'API REST uniquement lorsque cela est nécessaire ou ajouter des vérifications d'autorisation aux paramètres personnalisés, stocker les références avec une portée minimale et à l'extérieur de la base de données du site, et protéger la gestion du courrier avec des références par site et des politiques de rotation périodique. Un pare-feu d'application web (WAF) peut bloquer les modèles d'exploitation connus tout en appliquant des correctifs, et les solutions de sécurité WordPress aident à détecter des changements non autorisés.

Du point de vue du fournisseur, les intégrations utilisant des clés tierces devraient être conçues de manière à minimiser l'impact en cas de fuite : jetons à portée limitée, décisions courtes, enregistrement détaillé et alertes atypiques sur le panneau fournisseur. Si vous gérez plusieurs sites, centralisez la gestion des secrets avec des outils dédiés et permettre l'authentification multifactorielle dans les comptes fournisseurs réduit la possibilité d'abus après une fuite.

Si vous devez vérifier la nature technique de l'échec et voir les recommandations officielles, voir l'onglet CVE et la documentation de sécurité de l'API WordPress REST. Pour comprendre comment elle a été détectée et l'ampleur de l'exploitation massive, les entreprises de sécurité publique ont publié des analyses et des blocages observés au cours de la campagne : CVE-2026-4020 en NVD et documentation de l'API WordPress REST sur développeur.wordpress.org / reste-api. Il est également recommandé d'examiner les rapports de signature de sécurité tels que Wordfence pour les indicateurs d'engagement et les modes de fonctionnement.

Bref, il agit d'urgence : met à jour le plugin, brise les identifiants exposés, examine les journaux et cherche des signes d'abus. Prendre ces mesures réduit les dommages immédiats et la probabilité que l'information filtrée serve de base à de plus grands engagements dans votre infrastructure Web.