CVE-2026-73570: Zimbra Collaboration: OS Command Injection

Análisis en rafaelpfister.ch

Artículo · 6 de octubre de 2026 · solo en alemán CVE-2026-73570: Zimbra Command Injection über SNMP wird ausgenutzt - Update auf 10.1.20 und Prüfung auf Kompromittierung Eine präparierte E-Mail genügt: Auf Zimbra-Servern mit dem Paket zimbra-snmp und aktivierten SNMP-Benachrichtigungen führen Angreifer ohne Anmeldung Befehle als Benutzer zimbra aus (CVE-2026-73570, CVSS 8.9). Die Lücke wird ausgenutzt und ist in 10.1.20 behoben. Nötig sind das Update, bis dahin der Workaround, und eine Prüfung auf Webshells und Persistenz.

Descripción del fabricante (en inglés)

A remote code execution vulnerability exists in Zimbra Collaboration (ZCS) before 10.1.20 when the optional zimbra-snmp package is installed and SNMP notifications are enabled. Due to improper sanitization of untrusted input during SNMP notification processing, an unauthenticated attacker can send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.

Datos de referencia

Fabricante

Zimbra

Productos afectados

Collaboration

CVSS 3.1

8.9 (HIGH)

Vector

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Tipo de debilidad

CWE-78: OS Command Injection

Publicada

13 de agosto de 2026

En el catálogo KEV desde

21 de agosto de 2026

Plazo agencias federales de EE. UU.

24 de agosto de 2026

Fuentes oficiales

← Todas las vulnerabilidades