- Aktif istismar
- Yama var
- CWE-288
CVE-2026-23760
SmarterTools SmarterMail parola sıfırlama API'sinde kimlik doğrulama atlatma
- Yayımlandı
- Güncellendi
- 4 Ağu 2026
- Açık yaşı
- 279 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, internetten erişilebilen e-posta sunucusunun herhangi bir parola bilinmeden ele geçirilmesine yol açabilir. Saldırganlar e-postalara erişebilir ve sunucuyu tamamen kontrol edebilir. Aktif olarak istismar edildiği için güncelleme acilen yapılmalıdır.
ÖzetTürkçe
SmarterTools SmarterMail'in 100.0.9511 sürümünden önceki sürümlerinde parola sıfırlama API'sinde kimlik doğrulama atlatma zafiyeti bulunmaktadır. Force-reset-password uç noktası anonim isteklere izin vermekte ve sistem yöneticisi hesaplarını sıfırlarken mevcut parolayı veya bir sıfırlama belirtecini doğrulamamaktadır. Kimliği doğrulanmamış bir saldırgan, hedef yönetici kullanıcı adını ve yeni bir parola göndererek hesabı ele geçirebilir. Zafiyet CISA KEV listesine eklenmiştir ve aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Saldırgan, SmarterMail örneği üzerinde tam yönetici yetkisi elde eder. Yönetim işlevleri işletim sistemi komutlarının çalıştırılmasına izin verdiği için sunucuda SYSTEM veya root düzeyinde erişim sağlanabilir.
Kaynaktaki açıklama (İngilizce)
SmarterTools SmarterMail versions prior to build 9511 contain an authentication bypass vulnerability in the password reset API. The force-reset-password endpoint permits anonymous requests and fails to verify the existing password or a reset token when resetting system administrator accounts. An unauthenticated attacker can supply a target administrator username and a new password to reset the account, resulting in full administrative compromise of the SmarterMail instance. NOTE: SmarterMail system administrator privileges grant the ability to execute operating system commands via built-in management functionality, effectively providing administrative (SYSTEM or root) access on the underlying host.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- SmarterMail'i 100.0.9511 veya daha yeni bir sürüme (build 9511 ve üzeri) güncelleyin. Üretici
- CISA'nın gereklilikleri doğrultusunda satıcının yönergelerine göre azaltım önlemlerini uygulayın; azaltım önlemleri mümkün değilse ürünün kullanımını bırakın. CISA
- Güncellemeye kadar yönetim arayüzüne ve API'ye internet erişimini güvenlik duvarı ile kısıtlayın. Genel öneri
- Güncelleme sonrasında yönetici hesaplarının parolalarını değiştirin ve yetkisiz yönetici değişikliği olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Sistem yöneticisi hesaplarının son parola sıfırlama işlemlerini ve olağandışı oturum açmaları inceleyin; ele geçirilme belirtisi varsa sunucuyu tam olarak kontrol edin. Genel öneri
- Yönetim arayüzünü yalnızca VPN veya güvenilir IP adresleri üzerinden erişilebilir hale getirin. Genel öneri
- Web sunucusu ve uygulama günlüklerinde anonim kaynaklardan gelen parola sıfırlama API isteklerini izleyin. Genel öneri
- E-posta sunucusunu en az yetkiyle çalıştırın ve düzenli yedek alın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SmarterTools SmarterMail | < 100.0.9511 | 100.0.9511 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- smartertools.com/smartermail/release-notes/current Yama
- code-white.com/public-vulnerability-list Üçüncü taraf
- vulncheck.com/…l-authentication-bypass-via-password-reset-api Üçüncü taraf
- labs.watchtowr.com/…rtertools-smartermail-wt-2026-0001-auth-bypass İstismar kodu ya da analiz
- huntress.com/blog/smartermail-account-takeover-leading-to-rce İstismar kodu ya da analiz
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.