Zo'n zesduizend SmarterMail-servers bevatten een kritieke kwetsbaarheid waardoor ongeauthenticeerde aanvallers het wachtwoord van de administrator kunnen resetten, zo laat The Shadowserver Foundation op basis van eigen onderzoek weten. Meerdere partijen melden dat aanvallers actief misbruik maken van het beveiligingslek, aangeduid als CVE-2026-23760. Op 15 januari kwam ontwikkelaar SmarterTools met SmarterMail Build 9511 waarin het probleem is verholpen.

SmarterMail wordt omschreven als een Windows/Linux-gebaseerde mailserver en groupware-alternatief voor Microsoft Exchange. Gebruikers van SmarterMail kunnen hun wachtwoord resetten. Bij een normale resetprocedure controleert SmarterMail het oude wachtwoord van de gebruiker voordat er een nieuw wachtwoord wordt ingesteld. Onderzoekers van watchTowr ontdekten een endpoint waardoor het mogelijk is om zonder geldig wachtwoord een reset voor elke willekeurige gebruiker uit te voeren.

De betreffende API (application programming interface) vereist een oud wachtwoord, maar controleert niet of die juist is. Het enige dat een aanvaller daardoor nodig heeft is de gebruikersnaam van het admin-account en een nieuw wachtwoord om zo admin-toegang tot de mailserver te krijgen. Zodra de aanvaller als admin is ingelogd kan die een nieuw volume mounten en dat van willekeurige commando's voorzien, die vervolgens door het onderliggende besturingssysteem worden uitgevoerd. "Op dat moment heeft de aanvaller volledige remote code execution op de onderliggende host", aldus de onderzoekers.

The Shadowserver Foundation is een stichting die zich bezighoudt met onderzoek naar kwetsbare systemen op internet. Het voerde een scan uit naar SmarterMail-servers en keek daarbij naar het gebruikte versienummer. Dit leverde zesduizend servers met een kwetsbare versie op, waarvan 62 in Nederland. Het Amerikaanse cyberagentschap CISA meldt dat aanvallers actief misbruik van CVE-2026-23760 maken. Eerder werd dit ook gemeld door securitybedrijf watchTowr. Op het forum van SmarterTools wordt beheerders verteld dat als hun admin-wachtwoord niet meer werkt, ze ervan moeten uitgaan dat hun server is gehackt.