SmarterTools SmarterMail の認証の欠如の脆弱性（CVE-2026-24423）

何が起きた

SmarterTools のメールサーバー製品 SmarterMail で、ConnectToHub という API（外部から機能を呼び出す窓口）に、本人確認のチェックが抜けている弱点が見つかりました。攻撃者は SmarterMail に悪意のある HTTP サーバーを接続先として指定させ、そこから渡された OS コマンドを SmarterMail に実行させることができます。NVD の評価では、ログイン不要の攻撃者が離れた場所から、被害者の操作なしに悪用できます。CISA の KEV に載っており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SmarterMail を使っている組織のうち、build 9511 より前の版を動かしているところが対象です。

何をすればいい

SmarterMail を build 9511 以降に更新してください。SmarterTools のリリースノートでは、Build 9511 に重要なセキュリティ修正が含まれていると書かれており、その後も新しいビルド（Build 9784 など）が出ています。更新の手順は公式の案内を確認してください。

やることチェックリスト

• SmarterMail のビルド番号を確認する
• SmarterMail を build 9511 以降に更新する
• 新しいビルド（Build 9784 など）への更新を検討する

用語メモ

API

プログラムどうしがやり取りするための決まった窓口です。外から機能を呼び出すのに使われます。

OS コマンド

コンピューターの基本ソフト（OS）に直接出す命令です。ファイルの操作やプログラムの実行などができます。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。