此篇文章聚焦於WordPress外掛Gravity SMTP爆發高風險漏洞後，駭客開始大規模利用該漏洞發動攻擊的資安事件。文章指出，資安業者Wordfence於6月17日發布警示，提醒網站管理者注意編號為CVE-2026-4020的漏洞，因為攻擊者已經開始積極鎖定Gravity SMTP電子郵件外掛，試圖竊取網站串接郵件服務時所使用的認證資料。Gravity SMTP是由Rocketgenius開發的WordPress電子郵件外掛，安裝數約達10萬個網站，主要用途是協助網站透過第三方郵件服務穩定寄送信件。也正因為它涉及寄信設定、API金鑰與OAuth權杖等敏感資訊，一旦遭到攻擊者取得，影響不只是單一外掛程式故障，而可能牽動整個網站的郵件發送機制與後續資安風險。文章提醒，所有2.1.4版以前的Gravity SMTP都受到影響，使用者應盡快更新至已修補的2.1.5版，避免網站暴露在攻擊威脅之下。
此篇文章進一步說明，CVE-2026-4020並非剛曝光就沒有修補方案的零時差漏洞，而是在3月底揭露時，原廠已同步發布修補程式。然而，真正引發警戒的是6月初之後攻擊活動快速升溫。根據Wordfence觀察，自6月7日至11日期間，其防火牆服務每天都攔截到數百萬次針對該漏洞的攻擊嘗試，最高峰甚至達到單日400萬次，累計至今已阻擋超過1,700萬次攻擊。這些數據凸顯出一個常見但嚴重的資安問題：即使修補程式已經推出，只要大量網站尚未更新，漏洞仍會迅速成為駭客掃描與自動化攻擊的目標。文章的重點不只在於揭露Gravity SMTP存在風險，更在於提醒網站經營者，外掛更新延遲可能讓原本可控的漏洞，演變成大規模攻擊入口。對於仰賴WordPress架站的企業、媒體、電商與內容網站而言，外掛安全管理已不只是技術細節，而是攸關品牌信任、客戶資料與營運穩定性的基本防線。
文章也具體解析了漏洞的技術風險與可能後果。CVE-2026-4020的CVSS嚴重性評分為7.5，屬於高風險等級，未經授權的攻擊者只要向Gravity SMTP的REST API端點發送帶有特定查詢參數的GET請求，就可能觸發漏洞，取得外掛程式儲存的敏感資訊。這些資訊包括系統配置，以及與Amazon SES、Google、Mailjet、Resend、Zoho等第三方郵件服務整合時使用的API金鑰與OAuth權杖。若這些憑證外洩，攻擊者不僅能掌握網站的寄信功能，還可能利用合法郵件服務發送垃圾郵件或釣魚郵件，使受害網站成為攻擊鏈的一部分。此篇文章所呈現的案例，再次凸顯WordPress外掛生態的雙面性：外掛能快速擴充網站功能，卻也可能因權限過大或更新不及，成為駭客入侵的捷徑。對讀者而言，這篇文章最重要的提醒是，網站管理者應立即盤點是否使用Gravity SMTP，確認版本是否已更新至2.1.5，並同步檢查相關郵件服務憑證是否需要更換，才能降低憑證外洩與後續濫用的風險。
