- تماس با ما
- ۰۲۱-۸۲۸۰۵۹۱۱
- ۰۲۱-۹۱۳۰۰۴۷۶
- info@arka.ir
آسیب پذیری CVE-2026-23760 اسمارترمیل
ایمن سازی شبکه در دورههای تعطیلی طولانی
22/11/2025
کسب بالاترین امتیاز و رتبه نخست جهانی C-Prot EDR
01/02/2026
بررسی کامل آسیبپذیری CVE-2026-23760 در SmarterMail
آسیبپذیری CVE-2026-23760 یکی از موارد امنیتی بسیار بحرانی (Critical) است که در نرمافزار SmarterTools و محصول سرور ایمیل آن یعنی SmarterMail شناسایی شده است. این آسیبپذیری در پایگاه رسمی National Institute of Standards and Technology (NIST) و دیتابیس NVD ثبت شده و به دلیل سوءاستفاده فعال در دنیای واقعی، اهمیت بسیار بالایی دارد.
مشخصات کلی آسیبپذیری
شناسه: CVE-2026-23760
محصول آسیبپذیر: SmarterMail
نسخههای آسیبپذیر: تمامی نسخههای قبل از Build 9511
نوع آسیبپذیری: دور زدن احراز هویت (Authentication Bypass)
شدت: Critical (نمره CVSS حدود 9.8 از 10)
وضعیت بهرهبرداری: دارای سوءاستفاده فعال در محیطهای واقعی
شرح فنی آسیبپذیری
در نسخههای آسیبپذیر SmarterMail، یک endpoint مربوط به بازنشانی رمز عبور با نام force-reset-password وجود دارد که در اصل برای اهداف دیباگ یا مدیریت داخلی طراحی شده بود.
مشکل اصلی اینجاست که این endpoint:
بدون نیاز به احراز هویت قابل دسترسی است
هیچ توکن امنیتی یا اعتبارسنجی سمت سرور انجام نمیدهد
اجازه میدهد مهاجم تنها با ارسال یک درخواست HTTP، رمز عبور یک حساب کاربری (از جمله مدیر سیستم) را تغییر دهد
به بیان ساده، یک مهاجم میتواند:
نام کاربری مدیر را وارد کند
رمز عبور جدید تعیین کند
بدون دانستن رمز قبلی یا داشتن دسترسی قبلی، کنترل کامل حساب مدیر را در اختیار بگیرد
این موضوع عملاً به معنی تصاحب کامل سرور ایمیل است.
پیامدهای امنیتی
شدت این آسیبپذیری به دلیل پیامدهای بسیار گسترده آن است. در صورت سوءاستفاده موفق:
مهاجم میتواند به پنل مدیریتی دسترسی کامل پیدا کند
تمامی حسابهای ایمیل را مشاهده، تغییر یا حذف کند
دادههای سازمانی را استخراج کند
تنظیمات امنیتی را تغییر دهد
و در برخی سناریوها به اجرای کد از راه دور (Remote Code Execution) دست یابد
در نتیجه، این آسیبپذیری میتواند منجر به نفوذ کامل به زیرساخت ایمیل سازمان شود.
وضعیت سوءاستفاده در دنیای واقعی
این آسیبپذیری به دلیل اهمیت بالا، در فهرست آسیبپذیریهای مورد سوءاستفاده فعال سازمان Cybersecurity and Infrastructure Security Agency (CISA) نیز قرار گرفته است.
گزارشها نشان میدهد که مهاجمان بهطور فعال از این نقص امنیتی برای نفوذ به سرورهای ایمیل در سطح اینترنت استفاده کردهاند. همچنین کدهای نمونه بهرهبرداری (PoC) در منابع امنیتی منتشر شدهاند که ریسک حملات خودکار را افزایش میدهد.
نسخه اصلاحشده و راهکار رفع مشکل
شرکت سازنده این آسیبپذیری را در نسخه Build 9511 و بالاتر برطرف کرده است.
توصیه اصلی:
🔹 بهروزرسانی فوری به نسخه 9511 یا بالاتر
در صورت عدم امکان بروزرسانی فوری، اقدامات موقت زیر توصیه میشود:
محدودسازی دسترسی به پنل مدیریت از طریق فایروال
قرار دادن سرویس پشت VPN یا IP Whitelisting
پایش دقیق لاگها برای درخواستهای مشکوک
غیرفعالسازی دسترسی عمومی به endpointهای مدیریتی
با این حال، هیچ راهکاری جایگزین نصب Patch رسمی نخواهد بود.
CVE-2026-23760 یک آسیبپذیری بسیار بحرانی در SmarterMail است که به مهاجمان اجازه میدهد بدون احراز هویت، رمز عبور حساب مدیر را بازنشانی کرده و کنترل کامل سرور ایمیل را در اختیار بگیرند.
با توجه به وجود سوءاستفاده فعال در اینترنت، این آسیبپذیری باید در بالاترین اولویت امنیتی سازمانها قرار گیرد و در سریعترین زمان ممکن بروزرسانی امنیتی مربوطه اعمال شود.
