Polski krajowy zespół ds. cyberbezpieczeństwa CERT Polska ostrzegł organizacje przed aktywną eksploatacją poważnej luki w zabezpieczeniach w Zimbra Collaboration Suite, śledzonej jako CVE-2026-73570.
Luka dotyczy instalacji Zimbra Collaboration starszych niż wersja 10.1.20, gdy zainstalowany jest opcjonalny pakiet zimbra-snmp i włączone są powiadomienia SNMP. W takich warunkach nieuwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania SMTP, które mogą prowadzić do wykonania poleceń systemu operacyjnego z uprawnieniami użytkownika zimbra.
Co się stało
CERT Polska opublikował 17 sierpnia 2026 roku biuletyn ostrzegający, że CVE-2026-73570 jest aktywnie wykorzystywana w rzeczywistych atakach. Instytucja opisała problem jako lukę typu OS Command Injection w Zimbra Collaboration Suite, która pozwala nieuwierzytelnionemu atakującemu wykonywać dowolne polecenia powłoki z uprawnieniami użytkownika zimbra.
Zimbra usunęła lukę w Zimbra Collaboration 10.1.20. Administratorom uruchamiającym dotknięte wersje zaleca się zweryfikowanie instalacji i natychmiastową aktualizację.
Choć niektóre doniesienia opisują sytuację jako kampanię zero-day, najdokładniejsze sformułowanie brzmi, że jest to niedawno załatana luka, która jest teraz aktywnie wykorzystywana. Dla organizacji, które nie zaktualizowały systemów, praktyczne ryzyko jest takie samo: serwery Zimbra dostępne z internetu mogą już być celem ataków.
Jak działa ta luka
Luka jest związana z przetwarzaniem powiadomień SNMP w Zimbra.
NVD opisuje problem jako niewłaściwą sanityzację niezaufanych danych wejściowych podczas przetwarzania powiadomień SNMP. Jeśli zainstalowany jest opcjonalny pakiet zimbra-snmp i włączone są powiadomienia SNMP, zdalny nieuwierzytelniony atakujący może spreparować żądania SMTP, które wywołają wykonanie poleceń.
Luka jest sklasyfikowana jako CWE-78, czyli wstrzykiwanie poleceń systemu operacyjnego. Ta klasa błędów jest niebezpieczna, ponieważ dane wejściowe kontrolowane przez atakującego mogą trafić do powłoki systemu operacyjnego zamiast być traktowane wyłącznie jako dane.
Mówiąc prosto: żądanie związane z pocztą może stać się drogą do uruchamiania poleceń na serwerze.
Dlaczego to poważne
Serwery Zimbra są cennymi celami, ponieważ przechowują pocztę e-mail, kalendarze, kontakty, załączniki, poświadczenia, tokeny uwierzytelniania i wewnętrzną komunikację.
Jeśli atakujący uzyskają możliwość wykonywania poleceń na serwerze Zimbra, mogą być w stanie:
- wdrażać web shelle
- kraść dane ze skrzynek pocztowych
- zbierać poświadczenia lub tokeny
- modyfikować pliki serwera
- utrwalać swoją obecność
- przemieszczać się głębiej w sieci
- monitorować pocztę przychodzącą i wychodzącą
- wykorzystywać serwer jako infrastrukturę do dalszych ataków
Mimo że polecenia są wykonywane z uprawnieniami użytkownika zimbra, a nie roota, nadal jest to niebezpieczny przyczółek. Na serwerze poczty użytkownik aplikacji często ma dostęp do cennych danych aplikacji i może stanowić drogę do głębszego przejęcia.
Kogo to dotyczy
Organizacje są narażone, jeśli używają:
- Zimbra Collaboration Suite w wersji starszej niż 10.1.20
- opcjonalnego pakietu zimbra-snmp
- powiadomień SNMP włączonych przez
snmp_notify - uruchomionej usługi
swatchdog, która według CERT Polska jest domyślnie włączona w odpowiednich konfiguracjach
Nie każdy serwer Zimbra jest podatny w ten sam sposób. Warunki exploita zależą od konfiguracji związanej z SNMP. Administratorzy nie powinni jednak zakładać, że są bezpieczni, bez zweryfikowania zainstalowanej wersji, włączonych pakietów i konfiguracji.
Co powinni sprawdzić administratorzy
CERT Polska zaleca przejrzenie logów Zimbra pod kątem podejrzanych zmian statusu usług, zwłaszcza wpisów podobnych do:
Service status change: <malicious payload> changed from stopped to running
Service status change: <malicious payload> changed from running to stoppedInstytucja zaleca także sprawdzenie plików utworzonych przez użytkownika zimbra w ciągu ostatnich 30 dni w następujących katalogach:
/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/Te lokalizacje mają znaczenie, ponieważ atakujący często wykorzystują dostępne przez sieć katalogi aplikacji lub foldery tymczasowe do umieszczania ładunków, web shelli, skryptów lub mechanizmów utrwalania obecności.
Zalecana reakcja
Organizacje korzystające z Zimbra powinny działać szybko.
Działania priorytetowe:
- Zaktualizuj do Zimbra Collaboration 10.1.20 lub nowszej.
To wersja wskazana przez CERT Polska jako usuwająca lukę. - Sprawdź, czy pakiet
zimbra-snmpjest zainstalowany.
Jeśli monitorowanie SNMP nie jest wymagane, rozważ usunięcie lub wyłączenie tego komponentu. - Sprawdź, czy powiadomienia SNMP są włączone.
Przejrzyjsnmp_notifyi powiązaną konfigurację monitorowania. - Przejrzyj logi pod kątem oznak eksploatacji.
Skup się na nietypowych zmianach statusu usług, podejrzanej aktywności SMTP i poleceniach pojawiających się we wpisach logów. - Sprawdź katalogi wysokiego ryzyka.
Szukaj niedawno utworzonych lub zmodyfikowanych plików w ścieżkach aplikacji webowych Jetty i w/tmp. - Zabezpiecz dowody przed czyszczeniem.
Jeśli znajdziesz podejrzane artefakty, zbierz logi, znaczniki czasu, skróty plików i kopie podejrzanych plików przed ich usunięciem. - Zmień poświadczenia, jeśli podejrzewasz przejęcie.
Uwzględnij konta administratorów, poświadczenia skrzynek pocztowych, tokeny API, poświadczenia LDAP i wszelkie sekrety przechowywane na hoście Zimbra lub dostępne z niego. - Przejrzyj połączenia wychodzące.
Szukaj nietypowych połączeń z serwera Zimbra do nieznanych adresów IP lub domen. - Poszukaj mechanizmów utrwalania obecności.
Sprawdź zadania cron, jednostki systemd, web shelle, zmodyfikowane pliki aplikacji, klucze SSH i nieoczekiwane skrypty. - Skontaktuj się z zespołem CERT lub wsparciem reagowania na incydenty, jeśli podejrzewasz eksploatację.
CERT Polska wyraźnie prosi organizacje o kontakt, jeśli znajdą oznaki eksploatacji.
Dlaczego platformy poczty pozostają częstym celem
Serwery poczty pozostają jednymi z najbardziej atrakcyjnych celów dla atakujących.
Są wystawione do internetu, przetwarzają niezaufane wiadomości, przechowują wrażliwą komunikację i często łączą się z katalogami uwierzytelniania, systemami archiwizacji, synchronizacją mobilną i procesami biznesowymi.
Zimbra była też wielokrotnie celem ataków w ostatnich latach. BleepingComputer zauważył, że luki w Zimbra były wykorzystywane we wcześniejszych kampaniach przeciwko podatnym serwerom poczty, w tym w kampaniach nastawionych na kradzież e-maili i poświadczeń.
Ta historia ma znaczenie, ponieważ atakujący już rozumieją wartość środowisk Zimbra. Gdy pojawia się nowa ścieżka exploita, skanowanie i eksploatacja mogą nastąpić szybko.
Na koniec
CVE-2026-73570 to poważne przypomnienie, że infrastrukturę poczty trzeba traktować jak infrastrukturę krytyczną.
Luka pozwala na nieuwierzytelnione wykonywanie poleceń w określonych warunkach powiadomień SNMP w Zimbra, a CERT Polska potwierdził aktywne próby eksploatacji. Organizacje korzystające z Zimbra nie powinny czekać na doniesienia o szerszych przejęciach, zanim zaczną działać.
Zainstaluj poprawkę natychmiast, zweryfikuj ekspozycję SNMP, przejrzyj logi, sprawdź podejrzane pliki i zakładaj, że niezałatane systemy dostępne z internetu mogły już zostać sondowane.
W przypadku wystawionych serwerów współpracy samo załatanie to dopiero pierwszy krok. Gdy eksploatacja jest już aktywna, administratorzy muszą także szukać dowodów przejęcia.
