CVE-2026-24423

Exécution de Code à Distance Exploitable dans SmarterMail

Une faille de sécurité critique, identifiée sous la référence CVE-2026-24423, a été découverte dans les versions de SmarterTools SmarterMail antérieures à la version 9511. Cette vulnérabilité permet une exécution de code à distance sans authentification.

Points Clés :

• Nature de la vulnérabilité : Exécution de code à distance (RCE) sans authentification.
• Cible : SmarterTools SmarterMail, versions avant build 9511.
• Mécanisme d’exploitation : La méthode API ConnectToHub, dépourvue de contrôles d’authentification adéquats, est la source de la faille. Un attaquant peut forcer une instance SmarterMail vulnérable à se connecter à un serveur HTTP malveillant. Ce serveur transmet ensuite des commandes système qui sont exécutées par l’application SmarterMail.
• Impact : La vulnérabilité est activement exploitée dans la nature, y compris dans des campagnes de ransomware. Elle a été ajoutée au catalogue des vulnérabilités connues et exploitées par la CISA.

Vulnérabilités :

• CVE-2026-24423 : Exécution de code à distance sans authentification due à l’absence de contrôles d’authentification dans la méthode API ConnectToHub.

Recommandations :

• Mise à jour : Il est fortement recommandé de mettre à jour SmarterMail vers la version 9511 ou une version ultérieure afin de corriger cette faille de sécurité.

Source