Критична уязвимост за заобикаляне на автентикацията в SmarterTools SmarterMail – платформа за имейл сървъри и колаборация – се експлоатира активно в реалния свят. Уязвимостта позволява неавтентикирани нападатели да нулират пароли на администраторски акаунти и да придобият пълен достъп до системата.

• Засегнат продукт: SmarterMail (самостоятелно хостван Windows имейл сървър)

• Идентификатор на уязвимостта: CVE-2026-23760

• Сериозност: Критична (CVSS 9.3)

• Въздействие: Пълен администраторски достъп и изпълнение на произволен код

Как работи уязвимостта

Проблемът се крие в API крайна точка force-reset-password, която е достъпна без автентикация.

Основни наблюдения на компанията за киберсигурност watchTowr:

• Крайна точка приема JSON вход с контролирани от атакуващия параметри, включително полето IsSysAdmin.

• Ако IsSysAdmin се зададе на true, това активира нулиране на паролата на системния администратор, заобикаляйки всякакви проверки за сигурност.

• Полето OldPassword се игнорира – API не проверява съществуващи идентификационни данни.

• Всеки, който знае или отгатне администраторско потребителско име, може да нулира паролата, да поеме акаунта и да получи пълен SYSTEM достъп.

Уязвимостта засяга само администраторски акаунти, но позволява изпълнение на операционни системни команди, водещо до изпълнение на произволен код от разстояние.

Доказателства за активна експлоатация

• Наблюдавани са неразрешени нулирания на администраторски пароли в споделени логове.

• Proof-of-concept експлойти показват достъп до SYSTEM ниво.

• Експлоатацията започва две дни след публикуване на пача на SmarterMail, което предполага, че нападателите са разчитат на обратен инженеринг на поправката.

• Изследователи от Huntress и watchTowr потвърдиха активни атаки в реалната среда.

Засегнати потребители

• Доставчици на управлявани услуги (MSP)

• Малки и средни предприятия

• Хостинг доставчици, предлагащи имейл услуги

SmarterMail има приблизително 15 милиона потребители в 120 страни.

Мерки за защита и обновяване

• Актуализирайте до Build 9511, издадена на 15 януари 2026, която решава както тази уязвимост, така и предишната CVE-2025-52691 RCE.

• Нулирайте всички администраторски пароли след обновяване.

• Следете логовете за необичайни нулирания на администраторски акаунти.