Wprowadzenie do problemu / definicja luki
SmarterMail (serwer pocztowy i platforma współpracy od SmarterTools) znalazł się na celowniku masowych, zautomatyzowanych ataków po ujawnieniu krytycznej luki CVE-2026-23760. Błąd pozwala bez uwierzytelnienia przejąć konto administratora poprzez nieprawidłowo zaprojektowane API resetu hasła, a następnie – dzięki wbudowanym funkcjom administracyjnym – doprowadzić do zdalnego wykonania poleceń na hoście (RCE).
Równolegle organizacje typu Shadowserver raportowały tysiące instancji wystawionych do internetu, które wyglądały na podatne, a analitycy obserwowali już ataki „in the wild”.
W skrócie
- CVE-2026-23760: obejście uwierzytelnienia w API resetu hasła; dotyczy wersji przed build 9511.
- Wektor: POST /api/v1/auth/force-reset-password akceptuje żądania anonimowe i w krytycznej ścieżce dla sysadmina nie weryfikuje starego hasła / tokenu resetu.
- Skutek: przejęcie konta admina → szybka eskalacja do RCE/SYSTEM przez funkcje administracyjne (np. wykonywanie komend).
- Eksploatacja była obserwowana masowo i automatycznie (sekwencje żądań API, tworzenie „System Events”, sprzątanie śladów).
- Skala: raportowano >6 000 publicznie dostępnych serwerów potencjalnie narażonych.
Kontekst / historia / powiązania
CVE-2026-23760 wypłynęło krótko po innej krytycznej luce w SmarterMail (CVE-2025-52691), co podbiło zainteresowanie atakujących (i presję na zespoły IT). BleepingComputer opisał sytuację jako serię zdarzeń: zgłoszenie, szybka poprawka, a następnie szybka adaptacja eksploitu i skanowanie internetu w poszukiwaniu podatnych serwerów.
Istotny kontekst operacyjny: w przypadku serwerów pocztowych ekspozycja na internet jest często „z definicji” (webmail, panel admina, API), więc okno czasowe między patchem a masową eksploatacją bywa wyjątkowo krótkie. SecurityWeek cytował watchTowr, iż poprawka została gwałtownie przeanalizowana (reverse engineering) i zaczęła być wykorzystywana na szeroką skalę.
Analiza techniczna / szczegóły luki
1) Root cause: reset hasła admina bez dowodu tożsamości
watchTowr opisał problem jako błąd w logice resetu hasła: endpoint force-reset-password jest dostępny anonimowo (co samo w sobie bywa normalne dla resetów), ale ścieżka dla kont sysadmin pozwala podać Username i NewPassword bez weryfikacji OldPassword lub tokenu resetu.
W praktyce: jeżeli atakujący zna (lub zgadnie) nazwę konta administratora (często „admin”), może zresetować hasło i zalogować się jako administrator.
2) Od przejęcia konta do RCE – dwie obserwowane ścieżki
- Ścieżka A (watchTowr): po przejęciu sysadmina możliwe jest doprowadzenie do wykonania poleceń systemowych przez wbudowane funkcje administracyjne (watchTowr opisał drogę przez ustawienia i mechanizm, który finalnie uruchamia komendę na hoście).
- Ścieżka B (Huntress): w atakach „in the wild” widziano użycie funkcji System Events – napastnik po zdobyciu tokena dostępu tworzył złośliwy event-hook, wyzwalał go (np. dodaniem domeny), a potem wykonywał działania porządkowe (kasowanie domeny i hooka).
3) Sygnały masowej automatyzacji
Huntress pokazał typową sekwencję żądań API obserwowaną u wielu ofiar w krótkich odstępach czasu (co wygląda na automatyczne skrypty), zaczynając od wymuszenia resetu hasła, potem autoryzacji i konfiguracji mechanizmów do wykonania komend.
Praktyczne konsekwencje / ryzyko
Przejęty serwer SmarterMail to zwykle „klucz do królestwa” poczty:
- dostęp do skrzynek, korespondencji i danych wrażliwych,
- możliwość podszywania się (phishing/BEC), reguły przekierowań, utrwalanie dostępu,
- infrastruktura do dalszych ataków (malware, pivot w sieci, kradzież poświadczeń),
- ryzyko incydentu zgodności (RODO), reputacji i ciągłości działania.
NVD wprost wskazuje, iż uprawnienia sysadmina w SmarterMail mogą przekładać się na administracyjne uprawnienia na hoście (SYSTEM/root) dzięki wbudowanym funkcjom zarządzania – co z perspektywy IR oznacza traktowanie takiego zdarzenia jak pełne przejęcie serwera.
Rekomendacje operacyjne / co zrobić teraz
1) Patch i weryfikacja wersji
- Zaktualizuj do build 9511 lub nowszego (wszystko „przed 9511” jest wprost wskazywane jako podatne).
2) jeżeli nie możesz zaktualizować natychmiast (awaryjnie)
- ogranicz dostęp do panelu/web API (VPN/allowlista IP, przynajmniej dla interfejsu administracyjnego),
- rozważ tymczasowe reguły reverse proxy/WAF ograniczające dostęp do ścieżek API resetu hasła (uwaga: to obejście, nie „fix”),
- włącz monitoring anomalii na endpointach /api/v1/auth/* i akcjach administracyjnych.
3) „Assume breach” – szybkie polowanie i IR
Szukaj w logach (proxy / aplikacyjnych) nietypowych żądań:
- POST /api/v1/auth/force-reset-password oraz dalszych sekwencji API,
- tworzenia/edycji System Events / event-hooków i operacji dodania/usunięcia domen (pattern z Huntress).
IOCs/sygnały (wg Huntress):
- powtarzające się, szybkie sekwencje żądań API,
- user-agent python-requests/2.32.4 widziany w atakach,
- artefakt plikowy wskazywany w analizie Huntress (plik z wynikami rozpoznania).
4) Higiena po incydencie
- reset haseł kont uprzywilejowanych (i rotacja kluczy/sekretów, jeżeli serwer miał dostęp do innych systemów),
- przegląd reguł przekazywania poczty, integracji i webhooków,
- sprawdzenie trwałości (scheduled tasks, usługi, web-shelle, nieznane binaria),
- segmentacja i minimalizacja ekspozycji usług zarządzających.
Różnice / porównania z innymi przypadkami
Warto odróżnić dwie głośne luki SmarterMail z przełomu stycznia:
- CVE-2026-23760 – „czyste” przejęcie admina przez reset hasła bez weryfikacji (API), a potem RCE jako konsekwencja uprawnień admina i funkcji administracyjnych.
- CVE-2025-52691 – wcześniejsza, krytyczna podatność pre-auth (opisywana jako droga do RCE na niezałatanych serwerach), wspominana w kontekście tej fali ataków.
Operacyjnie: w CVE-2026-23760 najważniejsze jest, iż atakujący może „wejść drzwiami frontowymi” jako admin (zmieniając hasło), co utrudnia detekcję, jeżeli organizacja monitoruje wyłącznie klasyczne wskaźniki exploitów RCE.
Podsumowanie / najważniejsze wnioski
- CVE-2026-23760 to krytyczny błąd projektowy w API resetu hasła, który umożliwia przejęcie konta sysadmina i w praktyce prowadzi do pełnego kompromisu serwera.
- Skala ekspozycji jest duża (tysiące instancji wystawionych do internetu), a eksploatacja była obserwowana jako zautomatyzowana.
- Najważniejsze działania: aktualizacja do build 9511+, ograniczenie ekspozycji panelu/API oraz szybkie threat hunting pod kątem sekwencji API i nadużyć System Events.
Źródła / bibliografia
- BleepingComputer – o skali ekspozycji i trwających atakach (BleepingComputer)
- NVD (NIST) – opis CVE-2026-23760, wersje podatne, charakter wpływu (NVD)
- watchTowr Labs – analiza techniczna root cause i PoC dla force-reset-password (watchTowr Labs)
- Huntress – obserwacje ataków „in the wild”, sekwencje API i IOCs (Huntress)
- SecurityWeek – kontekst masowej eksploatacji i mechaniki nadużyć (SecurityWeek)
