Gravity SMTP WordPress Plugin: API-Key-Leck ausgenutzt

Eine Sicherheitslücke im Gravity-SMTP-Plugin für WordPress legt API-Keys offen. Hacker nutzen die Schwachstelle aktiv aus. So schützen Sie Ihre Seite.

Gravity SMTP Sicherheitslücke

Was ist passiert?

Gravity SMTP Sicherheitslücke

Angreifer nutzen eine kürzlich gepatchte Sicherheitslücke im WordPress-Plugin Gravity SMTP aus. Das Plugin ist auf rund 100.000 Websites installiert und dient dem Versand von E-Mails über SMTP-Dienste. Die Schwachstelle mit der Kennung CVE-2026-4020 (CVSS-Score 5.3) erlaubt es nicht authentifizierten Angreifern, vertrauliche Daten wie API-Schlüssel, OAuth-Tokens und Geheimnisse aus den Konfigurationsdateien des Plugins zu extrahieren.

Wie funktioniert der Angriff?

Gravity SMTP Sicherheitslücke

Die Lücke betrifft eine unsichere Datenbankabfrage in der Plugin-Logik. Indem Angreifer speziell präparierte HTTP-Anfragen senden, können sie die geschützten Einstellungen auslesen. Das Problem: Viele Website-Betreiber haben das Update noch nicht eingespielt. Die Angreifer scannen gezielt nach verwundbaren Versionen und extrahieren die API-Keys.

Ein betroffener Administrator berichtet: „Wir haben innerhalb von Stunden nach dem öffentlichen Patch mehrere Zugriffsversuche auf die API-Config-Daten gesehen.“

Welche Daten sind betroffen?

Im Klartext können folgende Daten abfließen:

  • SMTP-Anmeldedaten (Benutzername, Passwort)
  • API-Keys von E-Mail-Diensten wie Mailgun, SendGrid oder Postmark
  • OAuth-Tokens für Google Workspace oder Microsoft 365
  • Verschlüsselungsschlüssel und andere Geheimnisse

Mit diesen Keys können Angreifer E-Mails in Ihrem Namen versenden, auf Ihre Dienste zugreifen oder sogar weitere Systeme kompromittieren.

Sind Sie betroffen?

Prüfen Sie sofort, welche Version von Gravity SMTP auf Ihrer WordPress-Seite läuft. Das Plugin-Update auf Version 1.4.5 oder höher schließt die Sicherheitslücke. Zögern Sie nicht – die Angriffe laufen bereits.

So gehen Sie vor:

  1. Loggen Sie sich in Ihr WordPress-Backend ein.
  2. Navigieren Sie zu Plugins → Installierte Plugins.
  3. Suchen Sie nach „Gravity SMTP“ und aktualisieren Sie es.
  4. Wechseln Sie alle API-Keys und OAuth-Tokens, die über das Plugin konfiguriert waren.

Was sagt der Entwickler?

Das Entwicklungsteam hat den Patch am 14. März 2026 veröffentlicht. In den Release-Notes heißt es: „Diese Version behebt ein Sicherheitsproblem, das potenziell sensible Daten offenlegen könnte. Wir empfehlen allen Nutzern ein sofortiges Update.“

Weitere Schutzmaßnahmen

Neben dem Update sollten Sie folgende Punkte beachten:

  • Regelmäßige Sicherheitsaudits durchführen.
  • API-Keys in Umgebungsvariablen auslagern, nicht in der Datenbank speichern.
  • Ein Web Application Firewall (WAF)-Plugin wie Wordfence installieren.
  • Backups Ihrer Website machen, bevor Sie Updates einspielen.

Mehr zum Thema WordPress-Sicherheit finden Sie in unseren Artikeln unter WordPress Sicherheit und Plugin Schwachstelle.

Fazit

Die Sicherheitslücke in Gravity SMTP ist ernst, aber leicht zu beheben. Handeln Sie sofort. Wenn Sie API-Keys kompromittiert haben, tauschen Sie diese aus. Und denken Sie daran: Ein Plugin ist nur so sicher wie sein letztes Update.

Comments

Post a Comment

Popular posts from this blog

MODBEACON RAT: Neue Malware nutzt gRPC für verschlüsselte…

Image
Die China-nahe Gruppe Silver Fox setzt den neuen Rust-basierten MODBEACON RAT ein. Die Malware nutzt gRPC-Streaming für verschlüsselten C2-Traffic und S… Was ist MODBEACON und wer steckt dahinter? Silver Fox – eine Gruppe mit Verbindungen nach China – hat einen neuen Rust-basierten Remote Access Trojan (RAT) namens MODBEACON entwickelt. Das berichtet das chinesische Sicherheitsunternehmen QiAnXin . Die Gruppe tarnt sich als wenig ausgeklügelte, aber aktive Bedrohung, doch hinter den Kulissen steckt mehr. Wie verbreitet sich MODBEACON? Die Verbreitung erfolgt über SEO-Poisoning. Silver Fox erstellt gefälschte Installer, die in Suchergebnissen weit oben ranken. Sieht aus wie normale Software – ist aber Malware. Einmal installiert, öffnet MODBEACON eine Hintertür. Und das ist der Clou: Die Kommunikation mit dem Command-and-Control-Server (C2) läuft über gRPC-Streaming. Das ist kein gewöhnlicher HTTP-Traffic. gRPC verschlüsselt und bündelt Nachrichten in binären Protokollen – schwer ...
Read more

TP-Link Tapo 3.18.116 APK Review: Smart Home App Update

Image
The TP-Link Tapo app version 3.18.116 brings refinements to device management and user experience for your smart home ecosystem. We analyze the update. Beyond the Version Number: What This Update Actually Means Another version number hits the app store . It's easy to scroll past it, thinking it's just another routine patch. But sometimes, even minor increments like moving from 3.18.115 to 3.18.116 can signal important shifts under the hood. For users invested in the TP-Link Tapo ecosystem—spanning cameras, plugs, bulbs, and sensors—this update is about stability and polish, not flashy new features. That’s a good thing. Stability First: The Unseen Improvements Let's be clear: you won't open the app to find a radically new interface or a groundbreaking feature you never knew you needed. The core improvements in version 3.18.116 are preventative and performance-oriented. Think fewer dropped connections when checking your outdoor camera feed on a weak Wi-Fi s...
Read more

Latest Android Games on Aptoide: Discover Trending & New …

Image
Discover the latest trending and newly released Android games on Aptoide, from indie gems to unique puzzle and strategy titles you won't find elsewhere. Why Your Next Favorite Game Might Not Be on Google Play Let's be honest. Scrolling through the same curated lists on the official store can feel repetitive. You see the same major publishers, the same ad-heavy clones, the same endless sequels. It's a walled garden, meticulously pruned. But what grows in the wild? Platforms like Aptoide offer a different ecosystem entirely—one where independent developers and regional hits often bloom first. This isn't about sideloading questionable software; it's about accessing a broader, more diverse gaming landscape. The latest Android games aren't always the ones with the biggest marketing budgets. A Closer Look at What's Trending Now The raw list from Aptoide reveals fascinating patterns. It's a mix of genres and ambitions, reflecting what real players ...
Read more