SmarterTools SmarterMail < Build 9511 Unauthenticated RCE via ConnectToHub API

Falha de ausência total de autenticação (CWE-306) no método ConnectToHub, exposto pelo SystemAdminSettingsController do SmarterMail, que permite a um atacante não autenticado forçar a instância a se conectar a um servidor HTTP controlado por ele e executar um comando de sistema operacional retornado por esse servidor. Afeta qualquer instalação SmarterMail anterior ao Build 9511 acessível pela rede, sem exigir credenciais, interação do usuário ou configuração especial — por isso está no catálogo KEV da CISA com exploração confirmada e EPSS acima de 0,87.

O método ConnectToHub faz parte do subsistema de clustering/alta disponibilidade (HA/Hub) do SmarterMail, responsável por permitir que instâncias se conectem entre si como nós de um cluster. O SystemAdminSettingsController expõe esse método sem qualquer verificação de autenticação ou autorização — o endpoint aceita a requisição de qualquer origem na rede, sem sessão, token ou credencial de administrador, classificação CWE-306 (Missing Authentication for Critical Function).

O atacante controla o endereço do servidor HTTP com o qual a instância SmarterMail vai 'sincronizar' ao processar a chamada ConnectToHub. O fornecedor e o VulnCheck descrevem o fluxo como: a aplicação aponta para esse servidor remoto, que serve um 'comando de sistema operacional malicioso', e esse comando é executado pela instância vulnerável. As fontes disponíveis não detalham o mecanismo exato de como a resposta HTTP se transforma em execução de comando (se via deserialização, template de configuração processado, ou chamada direta de shell) — apenas confirmam que o resultado final é RCE no contexto do processo do SmarterMail.

O vetor CVSS 4.0 (AV:N/AC:L/AT:N/PR:N/UI:N) reflete exatamente essa ausência de barreiras: acesso via rede, sem complexidade de ataque, sem pré-requisitos de ambiente (AT:N), sem privilégio (PR:N) e sem interação do usuário (UI:N). Os impactos VC:H/VI:H/VA:H (confidencialidade, integridade e disponibilidade altas) indicam comprometimento total do servidor.

A mesma leva de correções do Build 9511 também fechou o CVE-2026-23760, uma falha distinta de ausência de autenticação no AuthenticationService.ForceResetPassword — ambas reportadas por pesquisadores da CODE WHITE GmbH junto com watchTowr e VulnCheck, o que sugere um levantamento coordenado de falhas de autenticação em vários controllers administrativos do produto na mesma janela de tempo.

O vetor de ataque é a interface HTTP/HTTPS de administração do SmarterMail exposta na rede (tipicamente a interface web/API do produto). Não é necessária nenhuma credencial, sessão prévia ou interação do usuário-alvo: o atacante envia a requisição que aciona ConnectToHub diretamente, apontando o parâmetro de destino para um servidor HTTP sob seu controle. A instância SmarterMail, ao processar essa chamada, contata o servidor do atacante e executa o comando que ele serve na resposta, no contexto do processo do SmarterMail no host da vítima.

A complexidade é baixa: não há necessidade de contornar autenticação (ela simplesmente não existe nesse endpoint), nem de encontrar configuração não padrão — o vetor está presente por default em qualquer build anterior ao 9511 com a interface exposta à rede que o atacante alcança. Isso explica o EPSS elevado e a inclusão imediata no catálogo KEV: a CISA registrou a vulnerabilidade em 5/2/2026, menos de duas semanas após a publicação, com prazo de correção de 26/2/2026, sinalizando exploração ativa observada.

O resultado final documentado é execução arbitrária de comando do sistema operacional no servidor de e-mail, o que na prática significa controle total do host — leitura e exfiltração de todas as caixas de e-mail hospedadas, movimento lateral a partir do servidor de mail (frequentemente um ativo de alto valor e alta confiança em redes corporativas), e possibilidade de persistência via serviços do próprio SmarterMail.

A correção do fornecedor é atualizar para o Build 9511 ou superior do SmarterMail, que adiciona a verificação de autenticação ausente no método ConnectToHub. As notas de release públicas disponíveis no momento cobrem builds posteriores (9673, 9678, 9686, 9693); o conteúdo específico do changelog do Build 9511 não estava disponível nas fontes consultadas, mas o VulnCheck e a CISA confirmam que essa é a versão de corte: tudo abaixo de 100.0.9511 é vulnerável, 9511 em diante corrige.

Se a atualização imediata não for possível, a orientação da CISA no KEV é aplicar as mitigações descritas pelo fornecedor ou, na ausência delas, descontinuar o uso do produto — não há um paliativo específico (flag de configuração, desabilitar feature) documentado nas fontes consultadas. Como controle compensatório genérico, restringir o acesso de rede à interface de administração do SmarterMail (bloqueio por firewall/VPN, sem exposição direta à internet) reduz a superfície de ataque, mas não elimina o risco caso o atacante já tenha alcance à rede interna ou à interface web pública do webmail, que pode expor os mesmos endpoints de API.

Não existe mitigação via desativação parcial de features documentada nas fontes: como o método é acionado através de um controller de API exposto e não claramente amarrado à ativação explícita do modo HA/cluster, não é seguro assumir que 'não usar clustering' protege a instância — essa suposição não foi confirmada pelo fornecedor ou pelos pesquisadores nas referências disponíveis.

Não há assinatura de exploração publicamente detalhada nas fontes consultadas além da existência confirmada de um template Nuclei para a CVE. Como indício de tentativa de exploração, vale monitorar: requisições HTTP/HTTPS não autenticadas dirigidas ao endpoint do SystemAdminSettingsController/ConnectToHub (ou caminhos de API equivalentes do SmarterMail) sem sessão de administrador válida; e, no lado da rede de saída, conexões originadas pelo próprio servidor SmarterMail para hosts HTTP externos incomuns ou não pertencentes à infraestrutura de HA/cluster legítima da organização — consistente com o comportamento de 'apontar para servidor malicioso' descrito pelo fornecedor.

Na ausência de logs de auditoria detalhados sobre chamadas ao ConnectToHub no produto, a detecção confiável fica limitada: recomenda-se tratar qualquer instância SmarterMail pré-Build 9511 exposta à internet como potencialmente comprometida e priorizar a revisão de processos filhos anômalos gerados pelo serviço do SmarterMail (execução de shell/OS commands) como sinal de comprometimento pós-exploração.