Cybersecuritybedrijf Wordfence meldt dat er op grote schaal misbruik wordt gemaakt van een kwetsbaarheid in de Gravity SMTP plug-in voor WordPress. Deze plug-in, die wordt gebruikt voor het versturen van e-mails, bevat een beveiligingslek waardoor ongeauthenticeerde aanvallers toegang kunnen krijgen tot gevoelige configuratiegegevens.

Gravity SMTP is een betaalde plug-in die naar schatting op ongeveer 100.000 websites actief is. Het lek betreft een REST API endpoint dat zonder authenticatie toegankelijk is, waardoor kwaadwillenden API keys, secrets en OAuth tokens kunnen stelen. Deze tokens worden gebruikt voor integraties met e-maildiensten zoals Amazon SES, Google, Mailjet, Resend en Zoho. Door deze gegevens te bemachtigen kunnen aanvallers e-mails versturen namens de getroffen websites en informatie verzamelen over de software stack, wat kan leiden tot verdere aanvallen.

De ontwikkelaar bracht op 17 maart een update uit om het probleem te verhelpen. Volgens Wordfence wordt de kwetsbaarheid sinds 5 mei actief uitgebuit. Sinds die datum registreerde het cybersecuritybedrijf meer dan zeventien miljoen aanvalspogingen. Het is onbekend hoeveel websites de update nog niet hebben geïnstalleerd, waardoor het risico op misbruik blijft bestaan.