בשרת הדואר SmarterMail יש כתובת שתפקידה לאפס סיסמאות. עד בנייה 9511 היא הסכימה לעשות את זה גם למי שלא הזדהה כלל, וגם כשהחשבון המדובר הוא של מנהל המערכת. הציון הוא 9.3, והחולשה נמצאת ברשימת החולשות שתוקפים כבר משתמשים בהן.

מה החולשה?

איפוס סיסמה הוא פעולה שדורשת הוכחה כלשהי. בדרך כלל זו הסיסמה הקודמת, או קוד חד פעמי שנשלח לכתובת הרשומה בחשבון. בלי אחת מהשתיים, כל אחד היה יכול לקחת כל חשבון.

הכתובת force-reset-password ב-SmarterMail לא ביקשה אף אחת מהשתיים. היא קיבלה בקשות אנונימיות, כלומר בלי שהשולח מזוהה כלל, ולא בדקה לא את הסיסמה הקיימת ולא קוד איפוס. מי ששלח אליה שם של חשבון מנהל וסיסמה חדשה, קיבל את החשבון. לזה קוראים עקיפת אימות: הדרך הרגילה לשער נשמרת, ולידה נשאר פתח שלא נועד להיות שם.

מכאן זה ממשיך הלאה. הרשומה מוסיפה הערה מפורשת: למנהל מערכת ב-SmarterMail יש דרך להריץ פקודות של מערכת ההפעלה דרך כלי הניהול המובנים של המוצר. כלומר ההשתלטות אינה נעצרת בתיבות הדואר. היא מגיעה אל השרת עצמו, בהרשאות SYSTEM או root.

זה ההבדל בין דליפת מיילים לבין מחשב שהוא כבר של מישהו אחר.

מי מושפע?

הרשומה מציינת את כל הגרסאות שלפני בנייה 9511, שמופיעה גם כ-100.0.9511. מי שמריץ בנייה מאוחרת יותר נמצא מחוץ לתמונה.

SmarterMail אינו מוצר שמשתמש ביתי מתקין. זה שרת דואר של ארגון, והוא נפוץ אצל ספקי אחסון ואצל עסקים שמחזיקים את הדואר שלהם אצלם ולא בענן. אם אתם לא יודעים אם יש לכם אחד כזה, מי שמתחזק לכם את השרתים יודע.

והשאלה שקובעת כאן היא לא רק איזו בנייה רצה אלא ממי אפשר להגיע אליה. חולשה שאינה דורשת שם משתמש רלוונטית לכל מי שיכול לפתוח חיבור אל השרת, וממשק ניהול שחשוף לאינטרנט הוא בדיוק זה.

האם מנוצלת בפועל?

כן. ב-26 בינואר 2026 הכניסה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, הרשימה שאליה נכנסות רק חולשות שיש עדות לכך שתוקפים מנצלים אותן בשטח. לגופים הפדרליים בארצות הברית נקבע מועד תיקון ב-16 בפברואר 2026.

פרטים טכניים נוספים יש בפרסומי המחקר של watchTowr Labs ושל Huntress.

מה עושים?

בדקו איזו בנייה רצה אצלכם, בממשק הניהול של SmarterMail. אם היא נמוכה מ-9511, אתם ברשומה.

עדכנו לבנייה 9511 או מאוחרת ממנה. זה הגבול שהרשומה מסמנת, ואין כאן הגדרה חלופית שמחליפה את העדכון.

אחרי העדכון, עברו על חשבונות מנהל המערכת. החולשה הזאת פועלת בדיוק בכך שהיא מחליפה סיסמה של מנהל, אז סיסמה שהשתנתה בלי שאף אחד שינה אותה היא הסימן הישיר ביותר. בדקו גם אם נוספו חשבונות מנהל שאתם לא מכירים.

הוציאו את ממשק הניהול מהחשיפה הישירה לאינטרנט אם הוא נמצא שם. זה לא מחליף את העדכון, אבל זה מקטין את קהל מי שיכול בכלל לנסות.

ואם מצאתם סימן לכך שמישהו הגיע, התייחסו לשרת כולו ולא רק לדואר. הרשומה אומרת שהרשאות מנהל ב-SmarterMail מתורגמות להרצת פקודות על המכונה, ולכן מה שצריך בדיקה הוא המכונה.