【安全资讯】超6000台SmarterMail服务器面临自动化劫持攻击风险

概要：

近日，网络安全领域曝出一项高危漏洞，涉及广泛使用的SmarterMail邮件服务器软件。该漏洞允许攻击者无需认证即可劫持管理员账户并执行远程代码，对全球数千台服务器构成严重威胁。美国网络安全和基础设施安全局（CISA）已将其列入积极利用漏洞清单，凸显了事件的紧迫性与广泛影响。

主要内容：

非营利安全组织Shadowserver发现，超过6000台SmarterMail服务器暴露在互联网上，很可能受到一个关键身份验证绕过漏洞（CVE-2026-23760）的攻击。该漏洞存在于SmarterMail build 9511之前的版本中，其密码重置API存在缺陷。具体而言，强制重置密码端点允许匿名请求，并且在重置系统管理员账户时未能验证现有密码或重置令牌。这使得未经身份验证的攻击者只需提供目标管理员用户名和新密码，即可完全控制SmarterMail实例。

网络安全公司watchTowr于1月8日向开发商SmarterTools报告了此漏洞，后者于1月15日发布了修复程序。watchTowr指出，攻击者仅需事先知道管理员账户用户名即可利用此漏洞，并已于1月21日发现该漏洞在野被利用。Huntress公司次日确认了相关报告，指出恶意攻击表明存在大规模自动化利用行为。

根据Shadowserver的跟踪数据，超过4200台位于北美、近1000台位于亚洲的服务器被标记为“可能易受攻击”。Macnica威胁研究人员Yutaka Sejiyama的扫描结果甚至显示有超过8550个SmarterMail实例仍存在风险。鉴于威胁的严重性，CISA已下令美国联邦机构在三周内（即2月16日前）完成相关服务器的安全加固工作。