SmarterTools SmarterMail の認証回避の脆弱性（CVE-2026-23760）

何が起きた

メールサーバーソフトの SmarterTools SmarterMail で、パスワードを再設定する API（外部から機能を呼び出す窓口）に、ログインの確認を通らずに使えてしまう弱点が見つかりました。攻撃者は管理者のユーザー名と新しいパスワードを送るだけで、今のパスワードや再設定用のトークンの確認なしに、システム管理者のパスワードを書き換えられます。攻撃者はネットワーク経由で、ログインの権限も利用者の操作もなしに悪用できるとされています。実際に悪用されたことが確認されており、ランサムウェアの攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SmarterMail を自分のサーバーで動かしている組織が対象です。データによると、影響を受けるのは build 9511 より前のバージョンです。NVD の説明では、SmarterMail のシステム管理者の権限があると、組み込みの管理機能から OS のコマンドを実行でき、実質的にサーバー全体の管理者の権限を得ることになるとされています。

何をすればいい

SmarterMail を Build 9511 以降に更新されているか確認してください。メーカーのリリースノートでは、Build 9511 に重大なセキュリティの修正が入ったとされています。あわせて公式の案内を確認してください。

やることチェックリスト

• SmarterMail を Build 9511 以降に更新する
• 使っている SmarterMail の build 番号を確認する
• Build 9511 より前の SmarterMail を残さないようにする

用語メモ

API

ソフトの機能を、外部のプログラムから呼び出すための窓口です。

トークン

本人であることや、操作を許されていることを示すための、一時的な合言葉のような文字列です。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。