- Aktif istismar
- Yama var
- CWE-306
CVE-2026-24423
SmarterTools SmarterMail ConnectToHub API'sinde kimlik doğrulamasız uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 4 Ağu 2026
- Açık yaşı
- 278 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
E-posta sunucusu yazılımı SmarterMail'deki bu kritik açık, saldırganların herhangi bir şifre olmadan sunucuyu ele geçirmesine izin veriyor ve açığın şu anda gerçek saldırılarda kullanıldığı bildirilmiş durumda. Güncelleme yapılmazsa e-posta verilerinin sızması, hizmet kesintisi ve sunucunun başka saldırılar için kullanılması riski vardır. Güncelleme gecikmeden uygulanmalıdır.
ÖzetTürkçe
SmarterTools SmarterMail'in 100.0.9511 öncesi sürümlerinde (build 9511 öncesi) ConnectToHub API metodunda kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma açığı bulunuyor (CWE-306). Saldırgan, SmarterMail'i kendi kontrolündeki kötü amaçlı bir HTTP sunucusuna yönlendirebiliyor; bu sunucu bir işletim sistemi komutu döndürüyor ve savunmasız uygulama bu komutu çalıştırıyor. Açık CISA KEV listesine eklenmiştir, yani aktif olarak istismar edilmektedir. Etkilenenler, bu sürümlerin öncesini çalıştıran tüm SmarterMail sunucularıdır.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, sunucuda işletim sistemi komutları çalıştırarak sunucunun tam denetimini ele geçirebilir. Bu durum e-posta verilerinin ve sunucudaki diğer kaynakların gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atar.
Kaynaktaki açıklama (İngilizce)
SmarterTools SmarterMail versions prior to build 9511 contain an unauthenticated remote code execution vulnerability in the ConnectToHub API method. The attacker could point the SmarterMail to the malicious HTTP server, which serves the malicious OS command. This command will be executed by the vulnerable application.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- SmarterMail'i üretici tarafından yayımlanan düzeltilmiş sürüme (100.0.9511 veya daha yenisi) güncelleyin. Üretici
- Güncelleme hemen yapılamıyorsa üreticinin yayımladığı azaltma talimatlarını uygulayın; azaltma mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme öncesinde sunucunun ele geçirilmiş olabileceğini varsayarak olağan dışı süreçleri, yeni kullanıcıları ve şüpheli giden bağlantıları kontrol edin. Genel öneri
Ek önlemler
- SmarterMail yönetim ve API arayüzlerine erişimi güvenlik duvarı veya ters vekil sunucu ile yalnızca gerekli ağlara sınırlayın. Genel öneri
- Posta sunucusunun internete yönelik giden HTTP bağlantılarını kısıtlayarak bilinmeyen sunuculara çıkışı engelleyin. Genel öneri
- Web ve uygulama günlüklerinde ConnectToHub API'sine yönelik olağan dışı istekleri izleyin. Genel öneri
- Sunucu yedeklerini düzenli alın ve yedeklerin sunucudan ayrı bir ortamda tutulduğundan emin olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SmarterTools SmarterMail | < 100.0.9511 | 100.0.9511 |
Kaynaklar7 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.