Błąd w SmarterMail starszym niż kompilacja 9511 pozwala bez logowania zresetować hasło administratora i przejąć pocztę oraz cały serwer. CISA potwierdza ataki ransomware. Zaktualizuj serwer dziś i zmień hasła administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własny serwer poczty SmarterMail lub korzystają z hostingu poczty opartego na tym programie. Werdykt: jeśli SmarterMail działa w kompilacji starszej niż 9511, zaktualizuj go NATYCHMIAST i zmień hasła administratorów, bo luka pozwala przejąć serwer bez logowania i jest wykorzystywana w atakach ransomware.
Amerykańska agencja CISA 26 stycznia 2026 roku dopisała podatność CVE-2026-23760 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i zaznaczyła użycie w kampaniach ransomware. Błąd dotyczy SmarterMail firmy SmarterTools, serwera obsługującego firmową pocztę, kalendarze i kontakty.
Funkcja wymuszonego resetu hasła przyjmowała żądania od każdego, bez logowania, i przy kontach administratora systemu nie sprawdzała ani starego hasła, ani jednorazowego tokenu. Wystarczyło znać nazwę konta administratora, żeby ustawić mu nowe hasło. Administrator SmarterMail może uruchamiać polecenia systemu operacyjnego, więc przejęcie konta oznacza przejęcie całego serwera. Poprawka wyszła 15 stycznia 2026 roku, ataki zaobserwowano już dwa dni później, a termin CISA minął 16 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-23760 |
Data dodania do CISA KEV | 2026-01-26 |
Termin naprawy wg CISA | 2026-02-16 (21 dni od wpisu) |
Produkt | SmarterTools SmarterMail, serwer poczty instalowany na własnym serwerze lub u dostawcy hostingu |
Wersje zagrożone | Wszystkie kompilacje SmarterMail starsze niż 9511 (w zapisie NVD: wersje przed 100.0.9511). Warunek: dostęp sieciowy do interfejsu serwera i znajomość nazwy konta administratora systemu |
Wersje bezpieczne | Kompilacja 9511 z 15 stycznia 2026 i nowsze; najnowsza według informacji o wydaniach producenta to kompilacja 9742 z 3 września 2026 |
Typ podatności | Obejście uwierzytelnienia w funkcji resetu hasła, prowadzące do przejęcia konta administratora i wykonania poleceń systemowych; CWE-288 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). VulnCheck: 9.3 (CVSS 4.0, KRYTYCZNA). Atak przez sieć, niska złożoność, bez logowania i bez udziału użytkownika |
Wyobraź sobie budynek biurowy, w którym recepcja wydaje nowe klucze do pokoju administratora budynku. Normalnie trzeba okazać dowód tożsamości albo stary klucz. W tym budynku wystarczyło podejść do okienka i powiedzieć: „Jestem Jan Kowalski, administrator, poproszę nowy klucz”. Recepcja nie sprawdzała niczego, a nazwisko administratora wisi na tablicy przy wejściu.
Tak działa ta luka. Funkcja resetu hasła w SmarterMail przyjmowała nazwę konta administratora i nowe hasło od każdego, kto połączył się z serwerem. Nazwa konta rzadko jest tajemnicą: często to „admin” albo imię i nazwisko osoby technicznej ze stopki maila. Po przejęciu konta napastnik czyta całą pocztę firmy, zakłada ukryte reguły przekazywania wiadomości i wysyła maile z prawdziwych adresów, a przez funkcje administracyjne uruchamia polecenia na samym serwerze.
💡 Reset hasła to funkcja ustawienia nowego hasła, która powinna wymagać tokenu wysłanego mailem lub starego hasła. Token to jednorazowy, losowy ciąg znaków potwierdzający uprawnienie. SYSTEM / root to najwyższe uprawnienia w Windows i Linux. Ransomware to złośliwe oprogramowanie szyfrujące dane w celu wymuszenia okupu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś prosi o reset hasła administratora | Musi mieć token z maila lub stare hasło | Wystarczy znać nazwę konta |
Dostęp do skrzynek pracowników | Tylko właściciele kont i uprawniony administrator | Napastnik czyta całą pocztę firmy |
Reguły przekazywania poczty | Ustawia je pracownik lub administrator | Napastnik po cichu przekazuje kopie maili na zewnątrz |
Wysyłka maili z firmowych adresów | Tylko pracownicy | Napastnik wysyła np. fałszywe prośby o zmianę numeru konta |
Serwer, na którym działa poczta | Zarządzany przez IT | Napastnik uruchamia polecenia z najwyższymi uprawnieniami |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału pracownika, wystarczy dostęp do serwera przez sieć. Według analizy źródłowej CISA oceniła go jako możliwy do zautomatyzowania, więc serwery wyszukuje się masowo, bez wybierania ofiar. Firma Huntress zaobserwowała, że po przejęciu konta napastnicy doprowadzali do wykonania kodu na serwerze.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu serwerów SmarterMail | Lista serwerów z kompilacjami starszymi niż 9511 |
2. Przejęcie konta | T+kilka minut | Wysłanie żądania resetu hasła dla typowej lub odgadniętej nazwy administratora | Napastnik loguje się jako administrator systemu |
3. Wykonanie poleceń | T+kilkanaście minut | Użycie funkcji administracyjnych do uruchomienia poleceń systemu operacyjnego | Pełna kontrola nad serwerem |
4. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu, zakładanie reguł przekazywania poczty | Dostęp utrzymany nawet po zmianie hasła |
5. Wykorzystanie poczty | T+dni | Czytanie korespondencji, wysyłka fałszywych faktur z prawdziwych adresów | Oszustwa finansowe, wyciek danych |
6. Szantaż | T+dni do tygodni | Przejście do innych serwerów i szyfrowanie danych (ransomware) | Przestój i żądanie okupu |
Poczta to archiwum umów, faktur, danych osobowych i haseł resetowanych mailem. Przejęcie serwera poczty jest znacznie groźniejsze niż przejęcie jednej skrzynki: daje wgląd w całą korespondencję, możliwość podszywania się pod każdego pracownika i pełny dostęp do maszyny, na której działa. Atak jest zautomatyzowany, więc wielkość firmy nie ma znaczenia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera poczty od zera, przerwa w komunikacji z klientami | Dni | 30 tys. do 250 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek całej korespondencji, załączników i danych osobowych | Godziny od przejęcia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelewy na fałszywe konta, żądanie okupu, koszty specjalistów | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Klienci dostają oszukańcze maile z prawdziwych adresów firmy | Dni do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia oszukanych kontrahentów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SmarterMail starszym niż kompilacja 9511,
dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: to najwyższy poziom ryzyka, bo atak jest bez logowania, zautomatyzowany, potwierdzony przez CISA i używany przez grupy ransomware, a skutkiem jest przejęcie poczty i serwera; firma z kompilacją 9511 lub nowszą jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy poczta firmy działa na SmarterMail, i uzyskać numer kompilacji (od administratora lub dostawcy hostingu) | Dziś | Administrator / dostawca hostingu |
2 | 🔴 NATYCHMIAST | Zaktualizować SmarterMail do najnowszej kompilacji (co najmniej 9511) | Dziś | Administrator / dostawca hostingu |
3 | 🔴 NATYCHMIAST | Zmienić hasła wszystkich kont administratora systemu i sprawdzić, czy nie powstały nowe konta administracyjne | Dziś | Administrator |
4 | 🟠 PILNIE | Przejrzeć reguły przekazywania i automatyczne odpowiedzi na wszystkich skrzynkach | Do 2 dni | Administrator poczty |
5 | 🟠 PILNIE | Przejrzeć logi serwera pod kątem wywołań resetu hasła i nieznanych logowań od 15 stycznia 2026 | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Jeśli są ślady przejęcia: odbudować serwer, bo po dostępie na poziomie SYSTEM lub root nie da się ustalić wszystkich zmian | Do 7 dni | CTO / zewnętrzny zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ograniczyć dostęp do panelu administracyjnego do sieci biura i VPN, zmienić nazwę konta administratora na nieoczywistą | Do 30 dni | Administrator sieci |
Producent wydał poprawkę w kompilacji 9511 i nie wskazuje obejścia w konfiguracji; CISA zaleca wdrożenie poprawki albo zaprzestanie używania produktu. Do czasu aktualizacji pomagają tylko poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do interfejsu WWW SmarterMail z internetu (tylko sieć biura i VPN) | Wysoka wobec skanowania z internetu, utrudnia pracę z webmaila poza biurem | Średnia |
Czasowe wyłączenie interfejsu WWW przy zachowaniu przesyłania poczty | Średnia do wysokiej, zależnie od konfiguracji | Średnia |
Zmiana nazwy konta administratora na nieoczywistą | Niska: utrudnia zgadywanie, nie usuwa luki | Łatwa |
Codzienny przegląd reguł przekazywania i logowań administratorów | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kompilacja SmarterMail | Starsza niż 9511, przejęcie bez logowania | 9511 lub nowsza |
Konta administratora | Znane nazwy, stare hasła | Nowe hasła, sprawdzona lista kont |
Reguły przekazywania poczty | Nieprzejrzane | Sprawdzone na wszystkich skrzynkach |
Dostęp do panelu administracyjnego | Z całego internetu | Tylko z biura i przez VPN |
Zgodność z terminem CISA | Zaległość od 16 lutego 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Huntress i watchTowr opisały ataki w styczniu 2026, pierwsze według logów około dwa dni po wydaniu poprawki |
Grupy przestępcze | Storm-1175 (według Microsoft Threat Intelligence, raport z 6 kwietnia 2026) |
Kampanie ransomware | TAK (CISA KEV: Known); Microsoft wiąże Storm-1175 z ransomware Medusa |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, NVD); 9.3 KRYTYCZNA (CVSS 4.0, VulnCheck) |
PoC dostępny publicznie? | TAK: szczegóły techniczne i sposób wykorzystania opublikowała firma watchTowr, a NVD oznacza jej raport i raport Huntress jako opisy exploita |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2025-52691 w SmarterMail (przesyłanie plików prowadzące do wykonania kodu), według Huntress masowo wykorzystywana w tym samym okresie |
Prognoza EPSS | Około 96% szansy próby wykorzystania w ciągu 30 dni, najwyższy promil wszystkich podatności (wg analizy źródłowej) |
Wszystkie sygnały wskazują w tę samą stronę:
Sygnały zagrożenia dla CVE-2026-23760
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (VulnCheck) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~96% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2026-01-15 SmarterTools wydaje kompilację 9511 z krytycznymi poprawkami
2026-01-15 Komunikat niemieckiego BSI (wg analizy źródłowej)
2026-01-17 Pierwsze ataki widoczne w logach (wg watchTowr)
2026-01-22 Publikacja CVE-2026-23760 w NVD, raporty watchTowr i Huntress
2026-01-26 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-01-27 Komunikat holenderskiego NCSC (wg analizy źródłowej)
2026-02-16 Termin naprawy wg CISA dla agencji federalnych
2026-04-06 Microsoft opisuje Storm-1175 i ransomware Medusa
2026-08-04 Ostatnia aktualizacja wpisu w NVD
2026-09-03 SmarterMail kompilacja 9742 (najnowsza)
2026-09-17: TUTAJ JESTEŚMY Informacje o wydaniach producenta z kompilacją 9511 i nowszymi: smartertools.com/smartermail/release-notes/current . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-23760 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, na jakim programie działa firmowa poczta (także u dostawcy hostingu) | CTO | DZISIAJ |
2 | Uzyskać pisemny numer kompilacji SmarterMail, a nie zapewnienie, że „wszystko jest aktualne” | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i zmianę haseł administratorów | CTO | DZISIAJ |
4 | Zlecić przegląd reguł przekazywania poczty i logów serwera | CTO | DO JUTRA |
5 | Ostrzec księgowość: każda prośba mailowa o zmianę numeru konta wymaga potwierdzenia telefonicznego | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową lub odbudowę serwera | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia zapisy o oszustwach mailowych i zgłaszaniu incydentów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza poczta działa na SmarterMail? | TAK / NIE | 🔴 |
2 | Jaki jest numer kompilacji SmarterMail i kiedy go zaktualizowano? | [kompilacja] / [data] | 🔴 |
3 | Czy po aktualizacji zmieniono hasła wszystkich administratorów systemu? | TAK / NIE, [data] | 🔴 |
4 | Czy w logach są wywołania resetu hasła administratora, których nikt z nas nie wykonał? | TAK / NIE | 🔴 |
5 | Czy przejrzano reguły przekazywania poczty na wszystkich skrzynkach? | TAK / NIE, [data przeglądu] | 🟠 |
6 | Czy panel administracyjny i webmail są dostępne z całego internetu? | TAK / NIE | 🟠 |
7 | Kto u dostawcy hostingu odpowiada za aktualizacje serwera poczty i jak szybko je wdraża? | [osoba] / [liczba dni] | 🟡 |
CVE-2026-23760 w SmarterMail starszym niż kompilacja 9511 pozwala bez logowania ustawić nowe hasło administratora i przejąć pocztę oraz cały serwer. CISA potwierdza ataki ransomware, dostępny jest opis sposobu wykorzystania, a termin CISA minął 16 lutego 2026 roku, więc aktualizacja, zmiana haseł i przegląd reguł przekazywania poczty to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.