Nezisková bezpečnostní organizace Shadowserver objevila přes 6 000 serverů SmarterMail vystavených online a pravděpodobně zranitelných vůči útokům zneužívajícím kritickou zranitelnost obcházení autentizace.
Kybernetická bezpečnostní společnost watchTowr nahlásila tuto bezpečnostní chybu vývojáři SmarterTools 8. ledna, který vydal opravu 15. ledna bez přiřazení identifikátoru.
Zranitelnost byla později označena jako CVE-2026-23760 a ohodnocena jako kritická závažnost, protože umožňuje neautentizovaným útočníkům unést administrátorské účty a získat vzdálené spuštění kódu na hostiteli, což jim umožňuje převzít kontrolu nad zranitelnými servery.
„SmarterTools SmarterMail verze před sestavením 9511 obsahují zranitelnost obcházení autentizace v API pro resetování hesla,“ uvádí se v poradním oznámení přidaném do národní databáze zranitelností NIST.
„Koncový bod force-reset-password povoluje anonymní požadavky a neověřuje existující heslo ani resetovací token při resetování účtů systémového administrátora. Neautentizovaný útočník může zadat cílové administrátorské uživatelské jméno a nové heslo pro resetování účtu, což vede k úplnému administrátorskému kompromitování instance SmarterMail.“
watchTowr objevil tuto chybu obcházení autentizace dva týdny poté, co našel další kritickou pre-auth zranitelnost v SmarterMail (CVE-2025-52691), která může útočníkům umožnit získat vzdálené spuštění kódu na neopravených serverech.
Vpondělí Shadowserver odhalil, že sleduje přes 6 000 serverů SmarterMail (více než 4 200 v Severní Americe a téměř 1 000 v Asii) označených jako „pravděpodobně zranitelné“ vůči probíhajícím útokům CVE-2026-23760.
Výzkumník hrozeb společnosti Macnica Yutaka Sejiyama také řekl BleepingComputer, že jeho skenování vrátilo přes 8 550 instancí SmarterMail stále zranitelných vůči útokům CVE-2026-23760.
watchTowr, který sdílel proof-of-concept exploit vyžadující pouze předchozí znalost uživatelského jména administrátorského účtu, poznamenal, že byl 21. ledna upozorněn na to, že chyba je zneužívána v reálném prostředí. Kybernetická bezpečnostní firma Huntress potvrdila jejich zprávu následující den a poznamenala škodlivé útoky naznačující masové, automatizované zneužívání.
V pondělí CISA přidala CVE-2026-23760 na svůj seznam aktivně zneužívaných zranitelností a nařídila vládním agenturám USA zabezpečit své servery do tří týdnů, do 16. února.
„Tyto typy zranitelností jsou častými vektory útoků pro škodlivé kybernetické aktéry a představují významná rizika pro federální podnik,“ varovala CISA. „Aplikujte zmírnění podle pokynů dodavatele, postupujte podle příslušných pokynů BOD 22-01 pro cloudové služby nebo ukončete používání produktu, pokud zmírnění nejsou k dispozici.“
Včera Shadowserver také oznámil, že našel téměř 800 000 IP adres s otisky Telnet uprostřed probíhajících útoků zaměřených na kritickou bezpečnostní chybu obcházení autentizace v serveru GNU Inetutils telnetd.
Zdroj: bleepingcomputer.com
