שרת דואר שמריץ SmarterMail בגרסה שקדמה ל-build 9511 חושף מתודה בשם ConnectToHub ב-API שלו בלי לבדוק מי קורא לה. תוקף מפנה את השרת אל שרת HTTP שבשליטתו, השרת ההוא מחזיר פקודה של מערכת ההפעלה, והמוצר מריץ אותה. הציון 9.3, והחולשה מסומנת כמנוצלת בפועל.

מה החולשה?

API הוא אוסף של פונקציות שתוכנה חושפת כדי שאפשר יהיה לקרוא להן מבחוץ. הציפייה הסבירה היא שכל אחת מהן תשאל קודם מי הקורא, ורק אחר כך תעשה את עבודתה. במקרה הזה מתודה אחת מדלגת על השאלה לגמרי. מי שמסוגל להגיע אל השרת מסוגל לקרוא לה. הסיווג הרשמי הוא היעדר אימות לפונקציה קריטית.

זה עדיין לא מסביר את הציון. מה שמוסיף אותו הוא מה שהמתודה עושה: היא פונה לכתובת שהקורא מספק. תוקף מכוון אותה לשרת שבשליטתו, ומה שחוזר משם מגיע להרצה. שתי החלטות תכנוניות רגילות, מתודה בלי אימות וכתובת שמגיעה מהקורא, מצטרפות להרצת קוד מרחוק בלי שום פרטי אימות.

הניקוד תואם: מרחוק, מורכבות נמוכה, בלי הרשאות ובלי פעולה של משתמש, ושלושת מדדי הנזק למערכת עצמה גבוהים.

שרת דואר הוא מכונה שרואה את כל ההתכתבות של הארגון. הרצת פקודות עליה אינה תקרית מקומית.

מי מושפע?

SmarterMail בכל גרסה שקדמה ל-build 100.0.9511.

SmarterMail הוא שרת דואר מסחרי, מהסוג שחברות אחסון וארגונים בינוניים מפעילים אצלם ולא מוצר שמוכר לקהל הרחב. בישראל הוא אינו נפוץ כמו הפתרונות הגדולים, אבל הוא קיים, בעיקר אצל ספקי אחסון ואצל ארגונים שמעדיפים לנהל את הדואר אצלם.

האם מנוצלת בפועל?

כן. ב-5 בפברואר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, שמרכז חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-26 בפברואר 2026.

הרשומה ב-NVD פורסמה ב-23 בינואר 2026, כשבועיים קודם. בין המקורות מופיעים ניתוח של Code White ו-advisory של VulnCheck, ואילו מצד היצרן מקושרות הערות הגרסה ולא הודעת אבטחה ייעודית. כלומר המסמך שממנו עובדים כאן הוא רשימת השינויים של המוצר.

מה עושים?

עדכנו ל-build 9511 או מאוחר ממנו. מספר ה-build מופיע בממשק הניהול של המוצר, ורשימת השינויים נמצאת בהערות הגרסה של SmarterTools.

אל תסתמכו על הגבלת גישה כפתרון. שרת דואר נגיש מהאינטרנט מעצם תפקידו, ולכן במקרה הזה העדכון הוא ההגנה ולא מיקום ברשת. מה שכן שווה לבדוק הוא אם ממשק הניהול עצמו חייב להיות פתוח החוצה, כי לרוב אין בכך צורך.

אחרי העדכון עברו על התעבורה היוצאת מהשרת בתקופה שלפניו. המנגנון כאן גורם לשרת הדואר לפנות בעצמו אל כתובת חיצונית, ולכן פנייה יוצאת אל כתובת לא מוכרת היא בדיוק הסימן שמחפשים.

ואם השרת מנוהל בידי ספק אחסון, זו פנייה קצרה אליו: באיזה build אתם, ומתי הוא עודכן.