Хакеры эксплуатировали CVE-2026-73570 в Zimbra до публичного раскрытия

Что произошло

Microsoft Threat Intelligence обнаружила эксплуатацию CVE-2026-73570 — критической уязвимости внедрения команд без аутентификации в Zimbra Collaboration Suite. Для атаки достаточно отправить специально сформированное письмо на доступный из интернета сервер. Проблема затрагивает системы с установленным дополнительным пакетом мониторинга SNMP и включёнными уведомлениями.

Исправление вошло в Zimbra 10.1.20 20 июля, а информация об CVE-2026-73570 стала публичной 13 августа. Microsoft наблюдала два инструмента сканирования уязвимого компонента с 28 июля по 7 августа. После подтверждения выполнения команд злоумышленники устанавливали веб- и reverse shell, повышали привилегии, закреплялись в системе, искали учётные данные и сведения о почтовых ящиках. В отдельных случаях они использовали доверенные SSH-соединения между серверами Zimbra для перехода на соседние системы. В одной из атак почтовые резервные копии были собраны в архив для отправки в Azure Blob Storage через AzCopy; успешность передачи Microsoft не подтвердила.

Что это значит для тех, кто работает с Почтовые серверы

Случай показывает риск для публично доступных Zimbra: сканирование и эксплуатация начались до публичного описания CVE. Компрометация может выйти за пределы одного почтового узла через существующие SSH-доверия и затронуть учётные данные, ящики и резервные копии. Для эксплуатации критичны состояние обновлений и конфигурация дополнительного SNMP-компонента.

Что делать

• Обновить Zimbra Collaboration Suite до версии 10.1.20 или более новой.
• Если обновление невозможно, удалить дополнительный пакет SNMP либо отключить SNMP-уведомления.
• Проверить серверы Zimbra на признаки веб-шеллов, reverse shell, неожиданных изменений прав в публичных каталогах и средств постоянного удалённого доступа.
• Проверить SSH-доверия между системами Zimbra и активность, связанную с доступом к данным почтовых ящиков и резервным копиям.