Kerngegevens
- Leverancier
- SmarterTools
- Product
- SmarterMail
- Soort software
- –
- Getroffen versies
- SmarterMail tot 100.0.9413
- Oplossing
- Update beschikbaar
- Opgeloste versie
- SmarterMail 100.0.9413
- CVE gepubliceerd
- 29 december 2025
- Op de KEV-lijst sinds
- 26 januari 2026
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In SmarterMail zit een fout waardoor een aanvaller zonder in te loggen bestanden kan uploaden naar een willekeurige plek op de mailserver. Zo'n geüploade bestand kan er in het ergste geval toe leiden dat de aanvaller zelf code op de server uitvoert. Het lek heeft de hoogste score (10) en wordt al actief misbruikt.
Wie loopt risico?
Je loopt risico als je een SmarterMail-server beheert met een versie ouder dan 100.0.9413. De aanval gaat via het netwerk en vraagt geen inlogaccount en geen handelingen van een gebruiker. Volgens de gegevens is er een publiek beschikbare exploit en wordt het lek ook gebruikt in ransomwarecampagnes.
Wat moet je doen?
Update SmarterMail
Werk SmarterMail bij naar versie 100.0.9413, waarin dit lek is opgelost. Doe dit met voorrang, omdat het lek al actief wordt misbruikt.
Beperk de blootstelling
Kun je nog niet meteen updaten, volg dan het advies van de leverancier en beperk de toegang tot de mailserver vanaf internet zo veel mogelijk.
Controleer op sporen van misbruik
Kijk of er onverwachte bestanden op de server zijn bijgekomen en of er ongebruikelijke activiteit in de logs staat, zeker als je server al langere tijd bereikbaar was via internet.
Volg de aanwijzing van CISA
CISA raadt aan de maatregelen van de leverancier toe te passen, of het product niet meer te gebruiken als er geen maatregelen beschikbaar zijn. De deadline voor Amerikaanse overheidsinstanties was 16 februari 2026.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onbeperkte upload van een bestand met een gevaarlijk type (CWE-434) in SmarterMail. Een niet-geauthenticeerde aanvaller kan via het netwerk bestanden naar elke locatie op de mailserver schrijven, wat kan leiden tot uitvoering van code op afstand. De CVSS-vector (3.1) is AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: lage complexiteit, geen rechten of gebruikersinteractie nodig, en gevolgen buiten het eigen beveiligingsdomein. Een publieke exploit is beschikbaar en het lek staat in de CISA KEV-lijst. De EPSS-score is 0,857.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-434 · Onbeperkt uploaden van bestanden met een gevaarlijk type
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 85,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 26 januari 2026
- Deadline van CISA
- 16 februari 2026
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA