SmarterTools SmarterMail: fehlende Authentifizierung für kritische Funktion (CVE-2026-24423)

Was ist betroffen, was ist zu tun

Die Schwachstelle CVE-2026-24423 ermöglicht eine Remote-Code-Ausführung (RCE) in SmarterTools SmarterMail vor Version 100.0.9511 durch die fehlende Authentifizierung bei der Nutzung der ConnectToHub API-Methode. Ein Angreifer kann die SmarterMail-Instanz auf einen bösartigen HTTP-Server umleiten, der schädliche OS-Befehle ausführt. Diese Schwachstelle wird aktiv in Ransomware-Kampagnen seit 2026 ausgenutzt. Betroffen sind alle Versionen von SmarterTools SmarterMail vor dem Build 9511. Es ist dringend erforderlich, das System auf die Version 100.0.9511 oder höher zu aktualisieren, um die Schwachstelle zu beheben.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie SmarterTools SmarterMail auf Version 100.0.9511. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• SmarterTools SmarterMail lt *..100.0.9511

Behoben in

• SmarterTools SmarterMail 100.0.9511

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: SmarterMail auf Build 9511 oder neuer aktualisieren. Betroffen sind alle Builds vor 9511. Den aktuellen Build im Vendor-Advisory von SmarterTools prüfen und den neuesten verfügbaren installieren, nicht nur das Minimum.
   • Exposition sofort reduzieren: Bis zum Patch das Web-/API-Interface (HTTP/HTTPS bzw. der individuell konfigurierte Web-Port) am Perimeter für das Internet sperren oder auf VPN- bzw. Admin-Quellnetze beschränken. SMTP, IMAP und POP3 können offen bleiben, die Schwachstelle liegt in der API.
   • Kompromittierungsprüfung vor dem Patch: Web- und IIS-Logs aller SmarterMail-Instanzen auf Aufrufe mit ConnectToHub sichern und auswerten. Bei Treffern das System als kompromittiert behandeln: isolieren, forensisches Abbild erstellen, erst danach patchen bzw. neu aufbauen.
   • Ausgehenden Verkehr des Mailservers beschränken: Egress-HTTP/HTTPS vom SmarterMail-Host auf bekannte Ziele (Update-Server, Lizenzserver, Spam-/AV-Feeds) begrenzen. Der Angriff setzt voraus, dass der Server einen vom Angreifer kontrollierten HTTP-Server erreicht.
   • Anmeldedaten rotieren (bei Verdacht): Passwörter der SmarterMail-System- und Domain-Admins, des Dienstkontos sowie lokal gespeicherte Zugangsdaten (z. B. AD-/LDAP-Bind-Konten, SMTP-Relay-Credentials) erneuern.
   • Meldepflichten prüfen: Bei bestätigter Kompromittierung die NIS2-Meldefristen beachten (Frühwarnung an BSI bzw. zuständige Behörde innerhalb von 24 h). Da CISA eine Nutzung in Ransomware-Kampagnen kennt, frühzeitig das Incident-Response-Team einbinden.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: SmarterMail-Server in eine DMZ mit restriktivem Egress verlegen. Kein Direktzugriff vom Mailserver auf interne Fileserver, Domain Controller (außer den benötigten LDAP/Kerberos-Ports) oder Backup-Systeme, um laterale Bewegung und Ransomware-Ausbreitung zu bremsen.
   • WAF/Reverse Proxy: Anfragen, deren URI oder Body ConnectToHub enthält (case-insensitive), aus nicht vertrauenswürdigen Quellnetzen blockieren. Wird keine Hub-/Cluster-Funktion genutzt, den Aufruf grundsätzlich verwerfen. Zusätzlich die Admin- und API-Pfade per IP-Allowlist schützen.
   • IPS-Regel: Eigene Suricata/Snort-Signatur auf HTTP-Requests an die SmarterMail-Instanz mit dem Content ConnectToHub (nocase) in http.uri bzw. http.request_body, Aktion drop für externe Quellen. Herstellersignaturen der IPS-Anbieter für CVE-2026-24423 aktivieren, sofern verfügbar.
   • Endpoint-Härtung: Per EDR-Policy, AppLocker oder WDAC das Starten von cmd.exe, powershell.exe, pwsh.exe, mshta.exe, rundll32.exe, certutil.exe und bitsadmin.exe als Kindprozess des SmarterMail-Dienstes bzw. von w3wp.exe unterbinden. Mindestens Attack-Surface-Reduction-Regeln im Block-Modus betreiben.
   • Least Privilege: Den SmarterMail-Dienst nicht als LocalSystem betreiben, wo der Hersteller dies unterstützt. Stattdessen ein dediziertes Dienstkonto mit minimalen Dateisystem- und Netzwerkrechten verwenden, um die Auswirkung einer Codeausführung zu begrenzen.
   • Backup-Absicherung: Offline- bzw. immutable Kopien der Mailstores und der Konfiguration erstellen. Die Wiederherstellbarkeit testen, bevor gepatcht oder neu aufgesetzt wird.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Web-/IIS-Access-Logs: Requests mit ConnectToHub im Pfad, insbesondere von externen IPs, ohne vorherige Authentifizierung oder mit ungewöhnlichem User-Agent. SPL: index=web host=<smartermail> "ConnectToHub" | stats count by src_ip, uri, status
   • EDR/Sysmon EID 1 (Process Create): Kindprozesse des SmarterMail-Dienstes bzw. von w3wp.exe mit Shell- oder LOLBin-Bezug. KQL: DeviceProcessEvents | where InitiatingProcessFileName in~ ("MailService.exe","w3wp.exe") and FileName in~ ("cmd.exe","powershell.exe","pwsh.exe","certutil.exe","rundll32.exe","mshta.exe"). Den Prozessnamen des Dienstes vorab an die lokale Installation anpassen.
   • Netzwerk-Telemetrie (Zeek/Suricata, Sysmon EID 3): Ausgehende HTTP/HTTPS-Verbindungen des Mailservers zu bislang unbekannten oder neu registrierten Zielen, direkt nach einem eingehenden ConnectToHub-Request. Der zeitliche Zusammenhang zwischen eingehendem Request und ausgehendem Abruf ist ein starker Indikator.
   • Persistenz und Ransomware-Vorbereitung: Windows Event ID 4698 (geplanter Task), 7045 (neuer Dienst), 4720/4732 (neues Konto bzw. Gruppenzugehörigkeit), Sysmon EID 11 (neue .aspx/.exe/.dll-Dateien in Web- oder SmarterMail-Verzeichnissen). Zusätzlich vssadmin delete shadows oder wbadmin-Aufrufe auf dem Mailserver überwachen.
   • Sigma-Form: logsource: product=windows, category=process_creation · selection: ParentImage|endswith: ['\MailService.exe','\w3wp.exe'] and Image|endswith: ['\cmd.exe','\powershell.exe'] · level: high

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Die Versionen von SmarterTools SmarterMail vor dem Build 9511 enthalten eine Schwachstelle für die unautorisierte Fernausführung von Code in der API-Methode ConnectToHub. Der Angreifer könnte den SmarterMail auf einen bösartigen HTTP-Server verweisen, welcher den bösartigen Betriebssystembefehl bereitstellt. Dieser Befehl wird von der anfälligen Anwendung ausgeführt.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: pwn.watch, CISA KEV Catalog, cvelistv5, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• SmarterTools SmarterTools SmarterMail

Weakness-Klassen (CWE)

• CWE-306Missing Authentication for Critical Function

  Base

  The product does not perform any authentication for functionality that requires a provable user identity or consumes a significant amount of resources.

  Eintrag bei MITRE CWE-306

Quellen & Referenzen

• smartertools.comSmarterTools SmarterMail — CVE-2026-24423Release Notes, Patch, pwn-watch
• code-white.compublic-vulnerability-listHinweis Dritter
• vulncheck.comadvisories/smartertools-smartermail-unauthenticated-rce-via-con…Hinweis Dritter
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-24423government-resource
• pwn.watchpwn.watch: SmarterTools SmarterMail: SmarterTools SmarterMail Missing Authentication for Critical Function Vulnerabilitypwn-watch
• NVD (NIST)NVD: CVE-2026-24423pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch