CVE-2026-73570: Zimbra Collaboration: OS Command Injection

Analyse auf rafaelpfister.ch

Artikel · 6. Oktober 2026 CVE-2026-73570: Zimbra Command Injection über SNMP wird ausgenutzt - Update auf 10.1.20 und Prüfung auf Kompromittierung Eine präparierte E-Mail genügt: Auf Zimbra-Servern mit dem Paket zimbra-snmp und aktivierten SNMP-Benachrichtigungen führen Angreifer ohne Anmeldung Befehle als Benutzer zimbra aus (CVE-2026-73570, CVSS 8.9). Die Lücke wird ausgenutzt und ist in 10.1.20 behoben. Nötig sind das Update, bis dahin der Workaround, und eine Prüfung auf Webshells und Persistenz.

Beschreibung des Herstellers (englisch)

A remote code execution vulnerability exists in Zimbra Collaboration (ZCS) before 10.1.20 when the optional zimbra-snmp package is installed and SNMP notifications are enabled. Due to improper sanitization of untrusted input during SNMP notification processing, an unauthenticated attacker can send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.

Stammdaten

Hersteller

Zimbra

Betroffene Produkte

Collaboration

CVSS 3.1

8.9 (HIGH)

Vektor

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Schwachstellentyp

CWE-78: OS Command Injection

Veröffentlicht

13. August 2026

Im KEV-Katalog seit

21. August 2026

Frist US-Bundesbehörden

24. August 2026

Offizielle Quellen

← Alle Schwachstellen