1月15日のアップデートで サーバー ソフトウェア内の重大な脆弱性が修正されたにもかかわらず、パッチの配布からわずか48時間後に、サイバー攻撃者によって積極的に武器化されていることが確認された。この動向は、当初この欠陥を開発者に通知していたwatchTowr Labsの研究者によって明らかにされた。
内部識別子WT-2026-0001として追跡されているこの欠陥は、/api/v1/auth/force-reset-passwordに位置するAPIエンドポイントとのやり取りにおいて、検証が著しく欠如していることに起因する。攻撃者はこの見落としを悪用し、精巧に作り込んだHTTPリクエストを送信することで、管理者パスワードを強制的にリセットできる。システムはIsSysAdminフラグがtrueに設定されている場合に誤ってこの権限を付与し、ユーザー名のみを参照として管理者アカウントに新しい認証情報を割り当てられるロジック経路を実行してしまう。
この手法は（攻撃者が管理者のユーザー名を把握していることが前提となるものの）特権アクセスを可能にするが、侵害の可能性はそれよりもはるかに広い。いったんそのようなアクセスが確保されると、攻撃者はシステムに備わる機能を利用して、OSレベルで任意のコマンドを実行できる。具体的には、設定内で新しいストレージボリュームを作成し、マウントポイント欄にコマンドを埋め込むことで、SYSTEM権限レベルのシェルを取得できる。
実際の悪用の証拠は、SmarterToolsフォーラムのユーザーが管理者アクセスを突然失ったと報告した後に浮上した。フォレンジックログにより、1月17日に脆弱なAPIを介してパスワードリセットが成功裏に実行されたことが判明し、脅威アクターがパッチのバイナリ差分解析を行って根本原因となる脆弱性をリバースエンジニアリングできたことを示している。
この侵害をめぐる状況は、バージョン9511のリリースノートが「重要な重大セキュリティ修正」と述べるにとどまり、不透明であることによってさらに深刻化している。SmarterToolsの責任者であるTimothy Uzzanti氏は、この具体性の欠如は悪意ある行為者を不用意に助けないための戦略的措置だと擁護した。さらに同氏は、今後の脆弱性開示とその後の修正に向けて、能動的なメール通知システムを導入する意向であるとも述べた。SmarterToolsはコメントを拒否しているため、この件で通知が発行されたかどうかは不明のままである。注目すべき点として、このインシデントは、同じソフトウェアで最大深刻度の脆弱性（CVE-2025-52691）が1か月足らず前に発見され、これもリモートコード実行を可能にしていたことに続くものである。
翻訳元: https://meterpreter.org/48-hours-to-chaos-smartermail-admin-bypass-exploited-after-secret-patch/
