Lỗ hổng SmarterMail bị khai thác chỉ sau hai ngày phát hành bản vá

[WhiteHat Team]

Việc một lỗ hổng bảo mật vừa được vá đã nhanh chóng bị khai thác ngoài thực tế không còn là điều hiếm gặp. Tuy nhiên, trường hợp của SmarterMail trong tháng 01/2026 vừa qua vẫn khiến giới quản trị hệ thống phải giật mình, khi khoảng cách giữa bản vá và cuộc tấn công đầu tiên chỉ tính bằng ngày.
​

Tại thời điểm các cuộc tấn công ban đầu được ghi nhận, vấn đề bảo mật này chưa được gán mã CVE chính thức. Chỉ sau khi mức độ ảnh hưởng được đánh giá đầy đủ và hoạt động khai thác ngoài thực tế được xác nhận, lỗ hổng mới được định danh là CVE-2026-23760. Đây là một chi tiết quan trọng, cho thấy nguy cơ thực tế đã xuất hiện trước cả khi cộng đồng kịp nhận diện đầy đủ rủi ro.

Lỗ hổng CVE-2026-23760 tồn tại trong phần mềm máy chủ email SmarterMail, cho phép kẻ tấn công vượt qua cơ chế xác thực để chiếm quyền tài khoản quản trị hệ thống. Từ vị trí này, kẻ tấn công có thể tiến thêm một bước, thực thi mã tùy ý trên máy chủ. Đáng chú ý, việc khai thác không đòi hỏi kỹ thuật phức tạp, mà bắt nguồn từ một sai sót logic trong chức năng đặt lại mật khẩu quản trị.

Theo phân tích của watchTowr Labs, lỗ hổng nằm ở cơ chế xử lý chức năng đặt lại mật khẩu quản trị của SmarterMail. Đây là một thành phần nhạy cảm nhưng lại được triển khai với kiểm soát truy cập không đầy đủ. Cụ thể, endpoint “/api/v1/auth/force-reset-password” có thể được truy cập mà không cần xác thực, trong khi logic xử lý phía sau lại tin tưởng một tham số “IsSysAdmin” do phía người dùng tự cung cấp.

Khi tham số này được đặt là đúng, hệ thống sẽ xử lý yêu cầu theo luồng dành cho quản trị viên và cho phép cập nhật mật khẩu của tài khoản quản trị dựa trên tên người dùng có sẵn trong request. Từ sai sót này, việc chiếm quyền quản trị hệ thống gần như trở nên trực tiếp. Chỉ cần biết tên một tài khoản quản trị tồn tại, kẻ tấn công có thể đặt lại mật khẩu theo ý muốn mà không cần vượt qua bất kỳ lớp xác thực nào.

Sau khi giành được quyền truy cập giao diện quản trị, mức độ rủi ro nhanh chóng leo thang. SmarterMail tích hợp sẵn các chức năng cho phép quản trị viên thực hiện các thao tác sâu với hệ điều hành máy chủ. Thông qua các tùy chọn cấu hình hợp pháp, kẻ tấn công có thể chèn và thực thi lệnh tùy ý, từ đó cho phép kẻ tấn công thực thi lệnh trực tiếp trên máy chủ và kiểm soát toàn bộ hệ thống vận hành bên dưới.

Diễn biến sự việc cho thấy lỗ hổng đã được watchTowr Labs báo cáo cho SmarterTools theo quy trình công bố có trách nhiệm vào ngày 08 tháng 01 năm 2026. Một tuần sau đó, vào ngày 15 tháng 01, SmarterTools phát hành bản Build 9511 nhằm khắc phục vấn đề. Tuy nhiên, ghi chú phát hành của bản cập nhật chỉ đề cập chung chung tới các sửa lỗi bảo mật nghiêm trọng, mà không cung cấp thêm chi tiết kỹ thuật cụ thể.

Chỉ hai ngày sau khi bản vá được phát hành, những dấu hiệu khai thác ngoài thực tế đã xuất hiện. Một quản trị viên SmarterMail phản ánh trên diễn đàn cộng đồng của SmarterTools rằng họ bất ngờ mất quyền truy cập tài khoản quản trị. Nhật ký hệ thống cho thấy mật khẩu admin đã bị thay đổi thông qua chính chức năng đặt lại mật khẩu, trùng khớp với lỗ hổng vừa được vá.

Theo nhận định của các nhà nghiên cứu, nhiều khả năng kẻ tấn công đã nhanh chóng phân tích ngược bản cập nhật để tái dựng lỗ hổng. Trong bối cảnh các bản vá bảo mật không công bố chi tiết, sự thay đổi trong hành vi của một chức năng nhạy cảm đôi khi lại trở thành manh mối đủ rõ để các nhóm tấn công lần ra điểm yếu.

Sau khi thông tin được công bố, lỗ hổng đã chính thức được gán mã CVE-2026-23760. Công ty an ninh mạng Huntress xác nhận đã quan sát thấy hoạt động khai thác ngoài thực tế và cảnh báo rằng đây là lỗ hổng chiếm quyền tài khoản đặc quyền, có thể dẫn đến thực thi mã từ xa trên các máy chủ chưa được vá.

Huntress đồng thời cho biết một lỗ hổng khác trong SmarterMail, CVE-2025-52691, hiện cũng đang bị khai thác trên diện rộng. Lỗ hổng này từng được Cơ quan An ninh mạng Singapore công bố với mức độ nghiêm trọng cao nhất. Việc nhiều lỗ hổng nguy hiểm liên tiếp bị khai thác cho thấy hệ thống email đang trở thành một bề mặt tấn công ngày càng hấp dẫn đối với các nhóm tin tặc.
​

Theo The Hacker News​

​