Más de 6.000 servidores de SmarterMail expuestos en internet están ejecutando versiones vulnerables que corren el riesgo de sufrir ataques activos de ejecución remota de código (RCE).

Investigadores de seguridad identificaron las fallas mediante escaneos diarios de vulnerabilidades HTTP, y ya se han observado intentos de explotación en la naturaleza.

Esto representa una amenaza significativa para organizaciones de todo el mundo que dependen de SmarterMail para sus operaciones de correo empresarial.

Resumen de la vulnerabilidad

CVE-2026-23760 es una vulnerabilidad crítica de omisión de autenticación en la API de restablecimiento de contraseña de SmarterMail que afecta a todas las versiones anteriores a la Build 9511, lanzada el 15 de enero de 2026.

La vulnerabilidad tiene una puntuación CVSS de 9.3, lo que indica un riesgo extremo para los sistemas afectados.

La falla existe en el endpoint /api/v1/auth/force-reset-password, que permite solicitudes no autenticadas sin requerir verificación de contraseña o tokens de restablecimiento cuando se dirigen a cuentas de administrador.

Un atacante que explote esta vulnerabilidad puede proporcionar cualquier nombre de usuario de administrador junto con una nueva contraseña, logrando un secuestro inmediato de la cuenta administrativa.

De manera crítica, los administradores de SmarterMail tienen funcionalidades integradas que permiten la ejecución directa de comandos del sistema operativo a través de la interfaz de Configuración, lo que eleva el compromiso a un acceso de nivel SYSTEM en el host subyacente.

Múltiples organizaciones de seguridad han confirmado la explotación activa desde al menos el 17 de enero de 2026, solo dos días después del lanzamiento del parche.

Huntress Labs observó que actores de amenazas utilizaban las cuentas de administrador comprometidas para crear Eventos del Sistema maliciosos configurados para ejecutar comandos de reconocimiento en hosts vulnerables.

La cadena de ataque demuestra un conocimiento sofisticado de la arquitectura de SmarterMail, con los atacantes restableciendo sistemáticamente cuentas, obteniendo tokens de autenticación e instalando puertas traseras persistentes.

Watchtowr Labs recibió informes anónimos que confirmaban que actores de amenazas estaban explotando la vulnerabilidad en entornos de producción.

Resulta especialmente preocupante que los atacantes monitoreen activamente las notas de lanzamiento y realicen diferencias de parches para ingeniería inversa de vulnerabilidades.

Los escaneos geográficamente distribuidos de Shadowserver revelan instancias vulnerables en múltiples continentes, aunque el desglose regional exacto no se ha detallado públicamente.

El descubrimiento de 6.000 IPs vulnerables subraya la significativa superficie de ataque, especialmente porque muchas organizaciones desconocen la disponibilidad de los parches.

SmarterTools recomienda encarecidamente actualizar a la última build de inmediato. Las organizaciones deben priorizar la aplicación de parches, ya que los atacantes están dirigiendo sus esfuerzos a instancias sin parchear, sin evidencia de que los intentos de explotación estén disminuyendo.

Los equipos de seguridad deben revisar los registros de actividad de las cuentas de administrador en busca de restablecimientos de contraseña no autorizados. Investiga posibles shells web o malware instalados mediante la explotación, y confirma que las copias de seguridad del sistema no estén comprometidas.