Luka w SmarterMail pozwala każdemu z internetu wgrać plik na serwer poczty i przejąć go. Ocena 10.0, publiczny kod demonstracyjny, potwierdzone ataki ransomware. Zaktualizuj do najnowszej kompilacji (co najmniej 9511) dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które mają pocztę na własnym serwerze SmarterMail albo kupują ją u małego dostawcy hostingu korzystającego z tego programu. Werdykt: jeśli SmarterMail ma kompilację niższą niż 9511, zaktualizuj go dziś do najnowszej, bo przez tę lukę każdy z internetu może wgrać plik na serwer, a CISA potwierdza jej użycie w atakach ransomware.
Amerykańska agencja CISA 26 stycznia 2026 roku dopisała podatność CVE-2025-52691 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy SmarterMail, serwera poczty firmy SmarterTools instalowanego na własnych serwerach. Pozwala osobie bez konta i hasła wgrać dowolny plik w dowolne miejsce na serwerze, co może skończyć się uruchomieniem kodu napastnika.
Tego samego dnia CISA dopisała drugą lukę w tym samym produkcie, CVE-2026-23760, która pozwala bez logowania zresetować hasło administratora. Obie oznaczono jako używane w kampaniach ransomware. Termin naprawy obu minął 16 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-52691 (powiązana: CVE-2026-23760) |
Data dodania do CISA KEV | 2026-01-26 (obie luki) |
Termin naprawy wg CISA | 2026-02-16 (obie luki) |
Produkt | SmarterTools SmarterMail (serwer poczty dla firm i dostawców hostingu) |
Wersje zagrożone | CVE-2025-52691: kompilacje 9406 i starsze. CVE-2026-23760: kompilacje starsze niż 9511 |
Wersje bezpieczne | CVE-2025-52691: kompilacja 9413 (9 października 2025) i nowsze. CVE-2026-23760: kompilacja 9511 (15 stycznia 2026) i nowsze. Najnowsza na dziś: kompilacja 9742 (3 września 2026) |
Typ podatności | Nieograniczone wgrywanie plików niebezpiecznego typu; CWE-434 |
Ocena CVSS | CSA Singapur (instytucja nadająca numer): 10.0 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez uprawnień, bez udziału użytkownika, ze skutkami wykraczającymi poza aplikację. NVD nie wystawiło własnej oceny |
Wyobraź sobie, że firma ma w drzwiach otwór na listy i zakłada, że wpadają przez niego tylko koperty. Ktoś wsuwa tamtędy nie kopertę, tylko nowy zamek z instrukcją montażu, a budynek sam go montuje. Od tej chwili klucz właściciela już nie pasuje, a nowy ma obcy.
Na serwerze pocztowym tym „zamkiem” jest mały program wgrany do katalogu strony internetowej serwera. Przyjmuje on polecenia z przeglądarki napastnika i wykonuje je z uprawnieniami usługi pocztowej. Dlatego nazwa luki mówi tylko o wgrywaniu plików, a skutek to przejęcie serwera. CISA ocenia atak jako możliwy do pełnego zautomatyzowania: program przegląda cały internet, znajduje serwery SmarterMail i atakuje je po kolei, nie wiedząc nawet, do kogo należą.
💡 Webshell to niewielki plik wgrany na serwer WWW, przez który napastnik wydaje polecenia jak z klawiatury administratora. Kompilacja (build) to numer konkretnego wydania programu, np. 9413. Zmiana zakresu w ocenie CVSS oznacza, że skutki nie zostają w aplikacji, tylko sięgają całego serwera. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu wysyła plik na serwer | Serwer odrzuca go bez zalogowania | Plik trafia w dowolne miejsce na dysku |
Typ wgrywanego pliku | Tylko dozwolone załączniki | Także pliki wykonywane przez serwer |
Konto i hasło | Wymagane | Niepotrzebne |
Wybór ofiary | Napastnik musi znać cel | Automatyczne skanowanie całego internetu |
Skutek | Poczta działa | Przejęty serwer, wyciek poczty, ryzyko szyfrowania danych |
źródło: Pexels, HarunPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery pocztowe są z założenia dostępne z internetu, a luka nie wymaga logowania, więc atak może zacząć każdy, kto dotrze do serwera. Firma watchTowr opublikowała szczegóły techniczne i kod demonstracyjny, co ułatwia masowe ataki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów SmarterMail w internecie i sprawdzanie kompilacji | Lista podatnych serwerów |
2. Wgranie pliku | T+kilka minut | Wysłanie spreparowanego żądania z plikiem webshella do katalogu strony | Obcy plik na serwerze |
3. Wykonanie kodu | T+kilka minut | Wywołanie webshella z przeglądarki | Polecenia napastnika działają na serwerze |
4. Utrwalenie | T+godziny | Tworzenie kont, instalacja narzędzi zdalnego dostępu | Stały dostęp mimo późniejszej aktualizacji |
5. Kradzież poczty | T+godziny do dni | Kopiowanie skrzynek i załączników, rozpoznanie sieci | Dane klientów poza firmą |
6. Ransomware | T+dni | Szyfrowanie serwera i innych maszyn, żądanie okupu | Brak poczty, szantaż publikacją danych |
Serwer pocztowy jest zawsze dostępny z internetu, przechowuje całą korespondencję i jest zaufanym nadawcą dla klientów. Luka z oceną 10.0, bez logowania, z publicznym kodem demonstracyjnym i potwierdzonym użyciem w ransomware to najgorsze możliwe połączenie. Pytanie „kto by się interesował małą firmą” nie ma tu znaczenia, bo skanery nie wybierają ofiar.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak poczty, zaszyfrowany serwer, konieczność odtworzenia lub migracji poczty | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Wyciek całej korespondencji i załączników, w tym danych klientów | Godziny | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, oszustwa na fałszywych fakturach wysłanych z prawdziwych skrzynek | Dni do tygodni | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Klienci otrzymują oszukańcze wiadomości z adresów firmy; publikacja wykradzionej poczty | Dni | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i zwykle powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SmarterMail w kompilacji 9406 lub starszej
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo spełnione są wszystkie warunki najgorszego scenariusza: brak logowania, serwer z definicji w internecie, publiczny kod demonstracyjny, możliwa automatyzacja i potwierdzone użycie w ransomware; dotyczy to także kompilacji 9413 do 9510, podatnych na bliźniaczą CVE-2026-23760.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma (lub jej dostawca poczty) używa SmarterMail i jaki jest numer kompilacji | Dziś | Kierownik IT |
2 | 🔴 NATYCHMIAST | Zaktualizować SmarterMail do najnowszej kompilacji (co najmniej 9511, zalecana najnowsza) | Dziś | Administrator / dostawca hostingu |
3 | 🔴 NATYCHMIAST | Sprawdzić katalogi strony internetowej serwera pod kątem nieznanych plików (np. .aspx, .ashx) i nowych kont administratorów | Dziś | Administrator |
4 | 🟠 PILNIE | Zmienić hasła administratorów SmarterMail i kont systemowych serwera | Do 2 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi serwera WWW i poczty od października 2025 pod kątem nietypowych żądań i wysyłek | Do 7 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do panelu administracyjnego do znanych adresów lub VPN | Do 14 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Ocenić, czy utrzymywanie własnego serwera poczty ma sens, czy lepsza jest usługa zarządzana | Do 30 dni | CTO / CFO |
Producent wydał poprawki (kompilacje 9413 i 9511, a obecnie 9742). Ani NVD, ani CISA nie podają obejścia w postaci zmiany ustawień. CISA dopuszcza jako ostateczność zaprzestanie używania produktu. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie dostępu do interfejsu WWW serwera z internetu (poczta SMTP działa dalej) | Średnia do wysokiej: odcina główną drogę ataku, ale blokuje pocztę przez przeglądarkę | Średnia |
Dostęp do panelu i poczty WWW tylko przez VPN | Wysoka | Średnia |
Tymczasowa migracja poczty do usługi zarządzanej | Wysoka | Trudna: wymaga przeniesienia skrzynek i DNS |
Monitorowanie nowych plików w katalogach strony | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wgranie pliku bez logowania | Możliwe dla każdego z internetu | Zablokowane |
Reset hasła administratora bez logowania (CVE-2026-23760) | Możliwy w kompilacjach poniżej 9511 | Zablokowany |
Numer kompilacji | Nieznany | Potwierdzony, najnowszy |
Ślady włamania | Niesprawdzone | Katalogi, konta i logi przejrzane |
Panel administracyjny | Dostępny z całego internetu | Dostępny tylko z VPN lub znanych adresów |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA ocenia wykorzystanie jako aktywne i automatyzowalne |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w dostępnych źródłach |
Kampanie ransomware | TAK (CISA KEV: Known), także dla powiązanej CVE-2026-23760 |
Ocena CVSS | 10.0 KRYTYCZNA wg CSA Singapur (CVSS 3.1); NVD nie wystawiło własnej oceny |
PoC dostępny publicznie? | TAK: repozytorium watchTowr Labs na GitHub (NVD oznacza je jako exploit) |
Liczba atakowanych firm | Brak publicznych informacji |
Ostrzeżenia w Europie | Holenderski zespół reagowania: 31 grudnia 2025; niemiecki: 4 stycznia 2026 (wg analizy źródłowej) |
Prognoza EPSS | 0,85, górne 0,3% wszystkich podatności (wg analizy źródłowej) |
Warto zauważyć, że europejskie zespoły ostrzegały o luce prawie cztery tygodnie przed wpisem do katalogu CISA. Firma czekająca na wpis w KEV traciła ten czas.
Sygnały zagrożenia dla CVE-2025-52691
CVSS 3.1 (CSA) 10.0/10 ████████████████████ KRYTYCZNA
EPSS 0,85 █████████████████░░░ BARDZO WYSOKIE
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
PoC publiczny TAK ████████████████████ dostępny
Ransomware (CISA) Known ████████████████████ używana 2025-10-02 Kompilacja 9406, ostatnia podatna
2025-10-09 SmarterTools wydaje kompilację 9413 z poprawką
2025-12-29 Publikacja CVE-2025-52691
2025-12-31 Ostrzeżenie holenderskiego zespołu reagowania
2026-01-04 Ostrzeżenie niemieckiego zespołu reagowania
2026-01-15 Kompilacja 9511 z poprawką CVE-2026-23760
2026-01-22 Publikacja CVE-2026-23760
2026-01-26 CISA dodaje obie luki do katalogu KEV, ransomware: Known
2026-02-16 Termin naprawy wg CISA dla agencji federalnych
2026-09-03 Najnowsza kompilacja SmarterMail 9742
2026-09-17: TUTAJ JESTEŚMY Informacje o wydaniach SmarterMail: smartertools.com/smartermail/release-notes/current . Alert agencji CSA Singapur: csa.gov.sg/alerts-and-advisories/alerts/al-2025-124 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-52691 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, na czym działa firmowa poczta i czy jest to SmarterMail (także u dostawcy hostingu) | CTO | DZISIAJ |
2 | Uzyskać pisemnie numer kompilacji od administratora lub dostawcy | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i krótką przerwę w działaniu poczty | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera pod kątem śladów włamania | CTO | DO JUTRA |
5 | Przypomnieć działowi finansów o weryfikacji telefonicznej każdej zmiany numeru rachunku | CFO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową lub migrację poczty | CFO | DO JUTRA |
7 | Sprawdzić umowę z dostawcą hostingu: termin instalacji krytycznych poprawek i obowiązek informowania o incydentach | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza poczta działa na SmarterMail (własnym lub u dostawcy)? | TAK / NIE | 🔴 |
2 | Jaki jest dokładny numer kompilacji SmarterMail? | [wersja] | 🔴 |
3 | Kiedy zainstalowano kompilację 9511 lub nowszą? | [data] | 🔴 |
4 | Czy sprawdzono katalogi strony serwera pod kątem nieznanych plików? | TAK / NIE, [data] | 🟠 |
5 | Czy pojawiły się nowe lub zmienione konta administratorów? | TAK / NIE | 🟠 |
6 | Czy panel administracyjny jest dostępny z całego internetu? | TAK / NIE | 🟠 |
7 | Czy mamy aktualną kopię zapasową skrzynek przechowywaną poza serwerem pocztowym? | TAK / NIE, [data ostatniej kopii] | 🟡 |
CVE-2025-52691 pozwala każdemu z internetu wgrać plik na serwer SmarterMail i przejąć go, a bliźniacza CVE-2026-23760 pozwala zresetować hasło administratora bez logowania. Obie są używane w atakach ransomware, poprawki są dostępne od miesięcy, a termin CISA minął 16 lutego 2026 roku, więc aktualizacja do najnowszej kompilacji i sprawdzenie śladów włamania to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.