Funkcja ConnectToHub w SmarterMail działała bez logowania i pozwalała wykonać na serwerze polecenia napastnika. CISA potwierdza ataki ransomware. Zaktualizuj do kompilacji 9511 lub nowszej i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują pocztę na własnym serwerze SmarterMail lub korzystają z hostingu poczty opartego na tym programie. Werdykt: jeśli SmarterMail działa w kompilacji starszej niż 9511, zaktualizuj go dziś do najnowszej wersji i sprawdź serwer pod kątem włamania, bo luka jest wykorzystywana w atakach ransomware.
Amerykańska agencja CISA 5 lutego 2026 roku dopisała do katalogu KEV podatność CVE-2026-24423 w serwerze poczty SmarterTools SmarterMail. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. W polu dotyczącym kampanii ransomware wpisano „Known”, czyli potwierdzone użycie.
Błąd dotyczy funkcji API o nazwie ConnectToHub, która należy do ustawień administratora, ale dawała się wywołać bez logowania. Napastnik podaje w niej adres własnego serwera, a podatny SmarterMail sam łączy się pod ten adres, pobiera polecenie i wykonuje je w systemie operacyjnym. Skutek to pełne przejęcie serwera poczty z internetu, bez hasła i bez udziału użytkownika.
Poprawka jest dostępna od 15 stycznia 2026 roku (kompilacja 9511). Termin naprawy wyznaczony przez CISA agencjom federalnym minął 26 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-24423 |
Data dodania do CISA KEV | 2026-02-05 |
Termin naprawy wg CISA | 2026-02-26 (21 dni od wpisu) |
Produkt | SmarterTools SmarterMail (serwer poczty, kalendarzy i webmaila) |
Wersje zagrożone | Wszystkie kompilacje przed 9511 (w bazach zapisane jako wersje przed 100.0.9511) |
Wersje bezpieczne | Kompilacja 9511 (15 stycznia 2026) i nowsze; najnowsza w uwagach do wydań to kompilacja 9742 (3 września 2026), która zawiera kolejne poprawki bezpieczeństwa |
Typ podatności | Brak uwierzytelniania dla funkcji krytycznej prowadzący do zdalnego wykonania poleceń; CWE-306 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1, wg analizy źródłowej). VulnCheck (organizacja publikująca CVE): 9.3 KRYTYCZNA (CVSS 4.0). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie telefon do sekretariatu firmy: „Proszę zadzwonić pod ten numer i zrobić dokładnie to, co usłyszy pani w nagraniu”. Sekretarka nie pyta, kto dzwoni, dzwoni pod podany numer, słucha instrukcji i wykonuje je, na przykład otwiera sejf. Nikt nie musiał przemycać polecenia przez recepcję, bo sekretariat sam po nie zadzwonił.
Tak działał ten błąd. Funkcja ConnectToHub miała służyć administratorowi do połączenia SmarterMail z usługą zewnętrzną, ale przy niej zabrakło sprawdzenia logowania. Napastnik wysyła do serwera poczty tylko adres, a serwer sam pobiera stamtąd polecenie i uruchamia je u siebie. Żadne hasło, uwierzytelnianie dwuskładnikowe ani polityka haseł tu nie pomaga, bo napastnik w ogóle nie dochodzi do ekranu logowania.
💡 API to „wejście dla programów”, przez które aplikacje wymieniają dane z serwerem. Zdalne wykonanie kodu (RCE) oznacza, że obcy może uruchamiać własne programy na cudzym serwerze. Ruch wychodzący to połączenia, które serwer sam nawiązuje z internetem; jego ograniczenie utrudnia ten typ ataku. Ransomware to złośliwe oprogramowanie szyfrujące dane w celu wymuszenia okupu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wywołuje funkcje administratora | Musi zalogować się jako administrator systemu | Funkcja ConnectToHub działa bez logowania |
Polecenia systemowe na serwerze | Uruchamia tylko administrator | Serwer sam pobiera i wykonuje polecenie z adresu napastnika |
Silne hasło i MFA | Chronią panel administracyjny | Nie mają znaczenia, bo logowanie jest pomijane |
Filtrowanie ruchu przychodzącego | Wyłapuje podejrzane polecenia | W zapytaniu jest tylko adres, polecenie przychodzi później |
Archiwum poczty i załączniki | Dostępne dla właścicieli skrzynek | Dostępne dla napastnika z uprawnieniami serwera |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery poczty z webmailem są z założenia dostępne z internetu, a CISA ocenia atak jako w pełni możliwy do zautomatyzowania. Warunkiem powodzenia jest to, że serwer może sam połączyć się z dowolnym adresem w internecie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie serwerów SmarterMail i ustalanie numeru kompilacji | Lista podatnych serwerów |
2. Wejście | T+kilka minut | Wywołanie funkcji ConnectToHub z adresem serwera napastnika | Serwer poczty pobiera i wykonuje polecenie |
3. Utrwalenie | T+kilkanaście minut | Instalacja narzędzi zdalnego dostępu i założenie własnych kont | Stała kontrola nad serwerem |
4. Kradzież danych | T+godziny | Kopiowanie archiwum poczty, załączników i haseł | Dane klientów i firmy poza organizacją |
5. Ruch w sieci | T+1 do 7 dni | Przejście z serwera poczty do innych serwerów, np. przez Active Directory | Dostęp do infrastruktury firmy |
6. Szantaż | T+1 do 3 tygodni | Uruchomienie ransomware i żądanie okupu, często z groźbą publikacji danych | Przestój i żądanie zapłaty |
Mogę Ci jakoś pomóc?
Serwer poczty to archiwum całej korespondencji firmy, a często także brama do reszty sieci. Luka nie wymaga hasła ani kliknięcia, jest wykorzystywana automatycznie i przez grupy ransomware, które nie wybierają celów według wielkości, tylko biorą wszystko, co znajdą.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak poczty, zaszyfrowane serwery, konieczność odbudowy serwera od zera | Godziny do tygodni | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek archiwum poczty, załączników, danych klientów i haseł | Godziny od wejścia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, których korespondencja wyciekła | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SmarterMail
w kompilacji starszej niż 9511
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo atak jest zautomatyzowany, nie wymaga logowania, prowadzi do pełnego przejęcia serwera i jest potwierdzony w kampaniach ransomware; firma z kompilacją 9511 lub nowszą jest poza zasięgiem tej luki, ale nadal powinna sprawdzić, czy nie doszło do włamania przed aktualizacją.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić numer kompilacji SmarterMail (lub zapytać dostawcę hostingu poczty) | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Zaktualizować SmarterMail do najnowszej kompilacji (co najmniej 9511) | Dziś | Administrator poczty / partner IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: odciąć serwer od internetu lub zablokować mu połączenia wychodzące do nieznanych adresów | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem włamania: nowe konta administratorów, nieznane programy i usługi, nietypowe połączenia wychodzące od stycznia 2026 roku | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła administratorów SmarterMail i kont serwisowych, jeśli są ślady włamania lub serwer długo był podatny | Do 3 dni | Administrator poczty |
6 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe poczty i serwerów są odseparowane od sieci i da się je odtworzyć | Do 7 dni | Administrator IT |
7 | 🟡 WAŻNIE | Ustalić stały rytm aktualizacji serwerów dostępnych z internetu, niezależny od komunikatów producenta | Do 30 dni | CTO |
Producent wydał poprawkę w kompilacji 9511 i kolejnych, a CISA nie podaje obejścia: zaleca zastosowanie poprawek albo zaprzestanie używania produktu. Poniższe środki mogą tylko ograniczyć ryzyko na krótki czas przed aktualizacją. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Aktualizacja do kompilacji 9511 lub nowszej (jedyne pełne rozwiązanie) | Wysoka | Łatwa do średniej |
Zablokowanie serwerowi połączeń wychodzących poza niezbędne adresy | Średnia: utrudnia pobranie polecenia, nie usuwa błędu | Średnia: wymaga znajomości potrzebnych połączeń |
Ograniczenie dostępu do panelu i API z internetu, pozostawienie tylko portów pocztowych | Średnia | Średnia: może utrudnić pracę webmaila |
Tymczasowe wyłączenie serwera z internetu | Wysoka | Trudna: zatrzymuje pocztę |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Funkcja ConnectToHub | Dostępna bez logowania | Wymaga uprawnień administratora |
Połączenia wychodzące serwera | Do dowolnego adresu | Tylko do niezbędnych adresów |
Wiedza o włamaniu | Brak | Sprawdzone konta, usługi i połączenia |
Rytm aktualizacji | Gdy producent ogłosi alarm | Stały i krótki dla serwerów dostępnych z internetu |
Zgodność z wymogami | Zaległość wobec terminu CISA z 26 lutego 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia atak jako aktywny, zautomatyzowany i dający całkowite przejęcie systemu |
Grupy przestępcze | Media (m.in. The Hacker News, BleepingComputer) opisały w lutym 2026 roku włamanie grupy Warlock (Storm-2603) do sieci samego SmarterTools przez niezałatany serwer SmarterMail; relacje wymieniają tę lukę i CVE-2026-23760, nie udało się jednoznacznie zweryfikować, która została użyta |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 9.3 KRYTYCZNA wg VulnCheck (CVSS 4.0) |
PoC dostępny publicznie? | Publiczne są opisy techniczne (VulnCheck, lista podatności Code White, analiza F5 Labs); brak potwierdzonej informacji o gotowym kodzie ataku w tych źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2026-23760 (obejście uwierzytelnienia przy resetowaniu hasła administratora), w KEV od 26 stycznia 2026 roku, także z oznaczeniem ransomware: Known |
Prognoza EPSS | Około 0,88, najwyższy promil wszystkich podatności (wg analizy źródłowej) |
Warto zwrócić uwagę na sposób ogłoszenia poprawki. CISA jako źródło informacji wskazuje zwykłe uwagi do wydania SmarterMail, a nie osobny biuletyn bezpieczeństwa. Firma, która czeka na alarmowy e-mail od producenta, mogła go nie dostać.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-24423
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (VulnCheck) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~88% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2026-01-15 SmarterTools wydaje kompilację 9511 z krytycznymi poprawkami
2026-01-23 Publikacja CVE-2026-24423 (VulnCheck)
2026-01-26 CISA dodaje do KEV powiązaną lukę CVE-2026-23760
2026-02-05 CISA dodaje CVE-2026-24423 do KEV, ransomware: Known
2026-02-26 Termin naprawy wg CISA dla agencji federalnych
2026-09-03 Kompilacja 9742 z kolejnymi poprawkami bezpieczeństwa
... prawie 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Uwagi do wydań SmarterMail z poprawkami: smartertools.com/smartermail/release-notes/current . Rekord CVE: cve.org/CVERecord?id=CVE-2026-24423 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-24423 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca hostingu poczty używa SmarterMail | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: numer kompilacji i data ostatniej aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, nawet kosztem krótkiej przerwy w działaniu poczty | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera pod kątem włamania od stycznia 2026 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na ewentualną analizę powłamaniową i odbudowę serwera | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z dostawcą hostingu określa czas wdrażania poprawek bezpieczeństwa | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki jest numer kompilacji naszego serwera SmarterMail? | [wersja] | 🔴 |
2 | Kiedy zainstalowaliśmy kompilację 9511 lub nowszą? | [data] | 🔴 |
3 | Czy sprawdziliśmy serwer pod kątem nowych kont, usług i połączeń wychodzących od stycznia 2026 roku? | TAK / NIE | 🔴 |
4 | Czy serwer poczty może łączyć się z dowolnym adresem w internecie? | TAK / NIE | 🟠 |
5 | Czy serwer poczty jest w tej samej domenie Active Directory co pozostałe serwery? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio sprawdziliśmy odtworzenie poczty z kopii zapasowej? | [data] | 🟠 |
7 | Jak często sprawdzamy dostępność aktualizacji dla serwerów dostępnych z internetu? | [częstotliwość] | 🟡 |
CVE-2026-24423 pozwala bez logowania przejąć serwer poczty SmarterMail w kompilacjach starszych niż 9511, bo serwer sam pobiera i wykonuje polecenia z adresu wskazanego przez napastnika. CISA potwierdza wykorzystanie luki w kampaniach ransomware, a poprawka jest dostępna od stycznia 2026 roku, więc aktualizacja i sprawdzenie śladów włamania to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.