SmarterTools ha abordado dos fallas de seguridad más en el software de correo electrónico SmarterMail, incluida una falla de seguridad crítica que podría resultar en la ejecución de código arbitrario.
La vulnerabilidad, rastreada como CVE-2026-24423tiene una puntuación CVSS de 9,3 sobre 10,0.
«Las versiones de SmarterTools SmarterMail anteriores a la compilación 9511 contienen una vulnerabilidad de ejecución remota de código no autenticado en el método API ConnectToHub», según una descripción de la falla en CVE.org.
«El atacante podría apuntar el SmarterMail al servidor HTTP malicioso, que sirve el comando del sistema operativo (sistema operativo) malicioso. Este comando será ejecutado por la aplicación vulnerable».
A los investigadores de watchTowr Sina Kheirkhah y Piotr Bazydlo, Markus Wultange de CODE WHITE GmbH y Cale Black de VulnCheck se les atribuye el descubrimiento y el informe de la vulnerabilidad.
El agujero de seguridad se solucionó en la versión Build 9511, lanzada el 15 de enero de 2026. La misma compilación también corrige otra falla crítica (CVE-2026-23760, puntuación CVSS: 9.3) que desde entonces ha estado bajo explotación activa en la naturaleza.
Además, SmarterTools ha enviado correcciones para solucionar una vulnerabilidad de seguridad de gravedad media (CVE-2026-25067, puntuación CVSS: 6,9) que podría permitir a un atacante facilitar ataques de retransmisión NTLM y autenticación de red no autorizada.
Se ha descrito como un caso de coerción de ruta no autenticada que afecta el punto final de vista previa del fondo del día.
«La aplicación decodifica en base64 la entrada proporcionada por el atacante y la utiliza como ruta del sistema de archivos sin validación», señaló VulnCheck en una alerta.
«En los sistemas Windows, esto permite que se resuelvan las rutas UNC (Convención de nomenclatura universal), lo que hace que el servicio SmarterMail inicie intentos de autenticación SMB salientes en hosts controlados por atacantes. Se puede abusar de esto para coerción de credenciales, ataques de retransmisión NTLM y autenticación de red no autorizada».
La vulnerabilidad se parchó en la compilación 9518, lanzada el 22 de enero de 2026. Con dos vulnerabilidades en SmarterMail siendo explotadas activamente durante la semana pasada, es esencial que los usuarios actualicen a la última versión lo antes posible.