התיאור ברשומה הוא משפט אחד בלבד, ומה שקובע בו הוא היעד: הקובץ יכול להיכתב לכל מקום בשרת. תוקף שאינו מזוהה מעלה קובץ לשרת הדואר שמריץ SmarterMail, בוחר לאן, ומשם, בלשון הרשומה עצמה, הדבר עלול לאפשר הרצת קוד מרחוק. הציון 10.0, וגרסת התיקון היא build 100.0.9413.

מה החולשה?

שרת דואר מקבל קבצים כחלק מתפקידו. קובץ מצורף שמגיע בהודעה נשמר איפשהו על הדיסק, וזה מצב רגיל לחלוטין. מה שהופך העלאת קובץ לחולשה הוא שתי שאלות: מי רשאי להעלות, ולאן הקובץ נכתב. כאן שתי התשובות פתוחות. אין דרישת הזדהות, והיעד נקבע בידי מי ששולח. בסיווג הרשמי זה נקרא העלאת קובץ מסוכן בלי הגבלה.

השליטה ביעד היא מה שמייצר את המשך השרשרת. קובץ שנכתב לתיקייה שדרכה השרת מגיש תוכן הופך לכתובת שאפשר לפנות אליה, והשרת יריץ את מה שכתוב בו. לכן הרשומה מנסחת את התוצאה בזהירות: היא אומרת שהמצב עלול לאפשר הרצת קוד, לא שהוא שקול לה.

הווקטור אינו מותיר מקום להנחות מקלות. מרחוק, מורכבות נמוכה, בלי הרשאות ובלי מעורבות של משתמש, שלושת מדדי הנזק גבוהים ו-Scope מסומן כ-Changed. זה מה שמצטרף ל-10.0.

מי מושפע?

SmarterMail בכל גרסה שקדמה ל-build 100.0.9413.

הנקודה המעשית כאן היא היעדר דרישת ההזדהות. אין הגנה בדמות סיסמאות חזקות של המשתמשים, ואין משמעות לשאלה אם לתוקף יש תיבה בשרת. כל שרת שמריץ גרסה ישנה ושאפשר להגיע אליו נמצא בטווח.

בישראל SmarterMail אינו מהשמות הגדולים בשוק, והוא מופיע בעיקר אצל ספקי אחסון ואצל ארגונים שבחרו להחזיק את הדואר אצלם. בחלק לא קטן מהמקרים מי שמפעיל בפועל את השרת אינו הארגון שמשתמש בו.

האם מנוצלת בפועל?

כן. ב-26 בינואר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-16 בפברואר 2026.

שני פרטים נוספים ברשומה שווים תשומת לב. הראשון, בין המקורות מופיע מאגר קוד פומבי של חברת watchTowr שעוסק בחולשה הזאת, כלומר חומר ניצול זמין לכל מי שמחפש אותו. השני, אחת ההתראות שמקושרות לרשומה פורסמה בידי סוכנות הסייבר של סינגפור, ולא רק בידי הרשות האמריקאית.

מה עושים?

עדכנו ל-build 100.0.9413 או מאוחר ממנו. מספר ה-build מופיע בממשק הניהול של המוצר, וזה המספר שצריך להשוות, לא שם הגרסה השיווקי.

אם השרת הריץ גרסה ישנה בזמן שקוד הניצול כבר היה פומבי, העדכון לבדו אינו מסיים את העניין. המנגנון כאן משאיר קובץ על הדיסק, ולכן מה שמחפשים הוא קבצים שהופיעו בתיקיות שדרכן השרת מגיש תוכן, בתאריכים שאינם מתיישבים עם עבודה שנעשתה שם.

ההתראה של סוכנות הסייבר של סינגפור מרכזת את הפרטים בצורה מסודרת, והיא נקודת פתיחה טובה למי שצריך להסביר את הדחיפות פנימה.