E-posta gönderim sağlayıcım erişim anahtarımı devre dışı bıraktı
Sipariş e-postalarınızı gönderen servis, anahtarınızı haber vermeden kapatıyor veya başka bir yerden gelen bir kullanım bildiriyor: bu çoğu zaman, kimlik bilgilerinizi nereye bakacağını bilen herkese açık hâle getiren bir eklentinin sonucudur.
Uyarı her zaman dışarıdan gelir
Senaryo neredeyse hiç değişmez. Mağazanızda hiçbir şey fark etmemişsinizdir, her şey çalışıyor görünmektedir ve sizi üçüncü bir taraf uyarır: gönderim sağlayıcınız hesabın erişim anahtarını askıya alır, olağan dışı bir gönderim hacmi bildirir ya da faturanızda hiç tetiklemediğiniz binlerce mesaj görürsünüz. Bazen ilk işaret daha da sessizdir: yapılandırmaya kimse dokunmadığı hâlde sipariş onayları artık gitmez.
Bir sağlayıcı bir anahtarı rastgele kapatmaz. Size ait olmayan bir altyapıdan gönderim yapıldığını ya da olağan trafiğinize hiç benzemeyen içerikler gördüğünü söyler. Anahtar teknik olarak hâlâ çalışmaktadır: yalnızca başka biri tarafından kullanılmaktadır. Başka biri kullanıyorsa da, o anahtar bir yerde okunmuştur.
Karşılaştığım vakalarda okunduğu yer neredeyse hiçbir zaman sizin bilgisayarınız değildir. Sitenin kendisidir: bu kimlik bilgilerini tutan ve nereye bakacağını bilen herkese okunabilir hâle getiren bir eklenti.
Sizi uyarması gerekenler
- Gönderim sağlayıcınız, siz hiçbir şey talep etmeden erişim anahtarını devre dışı bırakır.
- Olağan dışı gönderim hacmi uyarısı veya faaliyetinizle ilgisi olmayan bir fatura alırsınız.
- Yapılandırmanızda hiçbir şey değişmediği hâlde sipariş onay e-postaları artık gitmez.
- Sağlayıcının panosunda, müşteriniz olmayan alıcılara yapılan gönderimler görünür.
- Alan adınız istenmeyen posta kaynağı olarak işaretlenmeye başlar.
- Sitede kurulu bir e-posta gönderim eklentisi aylardır güncellenmemiştir.
Bir gönderim eklentisi neyi saklar, sistem raporu gerçekte neleri içerir
İşlemsel e-postaların gönderimini üstlenen bir eklentinin dışarıdaki bir servise bağlanması gerekir ve bunun için bir sırra ihtiyacı vardır: bir API anahtarı, bir yetkilendirme jetonu, bazen bir kullanıcı adı ve parola. Bu sır, sitenin veritabanında bir yapılandırma tablosuna, eklentinin her gönderimde yeniden okuyabileceği bir biçimde yazılır. Dolayısıyla gerçek anlamda korunamaz: eklentinin okuyabildiğini, aynı yeri sorgulayabilen herhangi bir kod da okuyabilir.
Buna bir de bu eklentilerin neredeyse tamamında bulunan bir özellik eklenir: sistem raporu. Destek talebi açtığınızda eklemeniz istenen dosya budur. WordPress ve PHP sürümlerini, sunucu bilgilerini, veritabanı bilgilerini, kurulu eklentilerin envanterini, aktif temayı ve e-posta bağlayıcılarının yapılandırmasını, yani anahtarları ve jetonları tek bir yerde toplar. Bu masum bir teşhis dosyası değildir: sırlarıyla birlikte kurulumunuzun eksiksiz tarifidir. Ona bir ekran görüntüsü gibi değil, bir parola gibi davranın.
CVE-2026-4020 tam olarak bu noktayı gösterir. Yaklaşık 100.000 sitede bulunan Gravity SMTP eklentisini, 2.1.4 dâhil olmak üzere tüm sürümlerinde etkiler. Eklentinin REST API uç noktalarından birinde bir izin denetimi vardı, ancak bu denetim her zaman doğru döndürüyordu: kapı kilitliydi ve kilit herkese evet diyordu. Uç nokta bu durumda yaklaşık 365 KB JSON veri döndürüyordu; yani eksiksiz sistem raporunu: bağlı e-posta servislerinin API anahtarları ve OAuth jetonları (Amazon SES, Google, Mailjet, Resend, Zoho), veritabanı bilgileri, WordPress ve PHP sürümleri, sunucu bilgileri, eklenti envanteri ve aktif tema. Düzeltme olan 2.1.5 sürümü 17 Mart 2026'da yayınlandı; açık ise 31 Mart 2026'da duyuruldu.
Devamı doğrudan sizi ilgilendiren kısımdır. Toplu istismar Mayıs 2026 başında başladı ve 6 ile 7 Haziran 2026'da zirve yaptı: tek bir günde 4 milyondan fazla engellenen istek ve Wordfence'e göre toplamda 17 milyondan fazla deneme. Bu ölçekte soru, sitenizin yoklanıp yoklanmadığı değil, yoklandığı anda güncel olup olmadığıdır.
Anahtar sızıntısından sonra işlem sırası
-
Anahtara dokunmadan önce sızıntıyı kapatın
Eskisini açığa çıkaran eklenti hâlâ yerinde ve düzeltilmemişken yeni bir anahtar üretirseniz, yenisi de aynı yoldan, bazen birkaç saat içinde sızar. Bu yüzden ilk işlem, ilgili eklentiyi güncellemek veya güncelleme hemen mümkün değilse geçici olarak devre dışı bırakmaktır.
-
Eskisini iptal etmeden önce yenisini oluşturun
Çoğu gönderim sağlayıcısında birden fazla anahtar bir arada bulunabilir. Yenisini oluşturun, site yapılandırmasına kaydedin, bir test e-postası gönderin, ulaştığını doğrulayın ve ancak ondan sonra eskisini iptal edin. İptal edilip yerine yenisi konmayan bir anahtar tüm sipariş onaylarınızı keser ve bunu müşteri şikâyetlerinden öğrenirsiniz.
-
Her şeyi anlamayı beklemeden iptal edin
İnceleme günler sürebilir; anahtar ise saniyesinde kullanılabilir. Önce iptal ederim, sonra anlarım. Tersi, soruşturma boyunca açık bir kapı bırakmak demektir ve bu hiçbir zaman iyi bir takas değildir.
-
Diğer sırları da ele geçirilmiş sayın
Bir sistem raporunda dışarı çıkan yalnızca gönderim anahtarı değildir. Diğer e-posta bağlayıcılarının jetonları, veritabanı kimlik bilgileri ve açığa çıkan yapılandırmanın tamamı bilinir kabul edilmelidir. Yenilenebilecek olanı yenileyin, geri kalanını değiştirin ve neyi değiştirdiğinizi yazılı olarak tutun.
-
Sunucu günlüklerini yeniden okuyun
Anahtar değiştirildikten sonra erişim günlüklerinde REST API çağrılarını ve dönen yanıt kodlarını arayın. Uç noktanın sitenizde çağrılıp çağrılmadığını ve hangi tarihten itibaren çağrıldığını size bu söyler. Barındırıcınız günlükleri yalnızca birkaç gün saklıyorsa, iz bulunmaması hiçbir şeyi kanıtlamaz.
# Journaux d'acces : appels a l'API REST, groupes par IP et par route
grep -h 'wp-json' access.log* | awk '{print $1, $7, $9}' | sort | uniq -c | sort -rn | head -40
# Fichiers PHP modifies dans les 30 derniers jours
find wp-content -type f -name '*.php' -mtime -30 -ls | head -40Konuyla ilgili diğer sayfalar
-
Sitem yazmadığım e-postalar gönderiyor
Sorunun diğer yüzü: sitenin kendisi gönderim makinesine dönüştüğünde.
-
Sipariş e-postaları artık ulaşmıyor
Bir anahtar yerine yenisi konmadan iptal edildiğinde müşteri tarafında olanlar.
-
Sitemin ele geçirilip geçirilmediğini kontrol etme
Sızan sırların bir giriş noktası olarak kullanılmış olabileceği durumda yapılacak kontroller.
-
REST API
REST API uç noktası nedir ve bozuk bir izin denetimi neden her şeyi açar.
İhtiyacınızı bir dakikada anlatın
Size bir anket daha değil, doğrudan bir tahmin sunabilmem için birkaç hedefli soru.