CVE-2026-73570: la command injection di Zimbra tramite SNMP è sfruttata — aggiornare alla 10.1.20 e verificare eventuali compromissioni

In Zimbra Collaboration (ZCS) precedente alla versione 10.1.20, un aggressore può eseguire comandi del sistema operativo con i privilegi dell’utente zimbra senza autenticarsi, se è installato il pacchetto opzionale zimbra-snmp e sono attivate le notifiche SNMP. Il vettore è una richiesta SMTP appositamente predisposta, ovvero un’e-mail inviata al server, i cui contenuti confluiscono senza filtraggio nell’elaborazione delle notifiche SNMP. La vulnerabilità è identificata come CVE-2026-73570 e ha un punteggio CVSS di 8.9. Zimbra l’ha segnalata il 26 giugno 2026 e corretta il 20 luglio 2026 con la versione 10.1.20. CERT Polska ha avvertito il 17 agosto 2026 di una campagna di attacchi in corso; l’agenzia statunitense CISA ha inserito la vulnerabilità nel proprio catalogo delle vulnerabilità sfruttate (KEV) il 21 agosto 2026. L’aggiornamento è disponibile.

I punti essenziali in breve

Versioni interessate e aggiornamenti

Sono interessate soltanto le installazioni in cui zimbra-snmp è installato e le notifiche SNMP sono attivate. Secondo CERT Polska, il servizio swatchdog, che elabora le notifiche, è in esecuzione per impostazione predefinita. Senza zimbra-snmp, secondo la descrizione dell’advisory un server non è attaccabile tramite questa via; l’aggiornamento alla 10.1.20 corregge inoltre altre vulnerabilità (XSS nel Classic Web Client, aggiramento delle restrizioni di inoltro, SSRF nell’integrazione Nextcloud, controlli di accesso in EWS e nella delega della casella di posta) ed è quindi opportuno anche senza SNMP.

La versione installata viene mostrata da zmcontrol -v come utente zimbra (numero di release, build, piattaforma, data di build secondo il Wiki di Zimbra):

su - zimbra
zmcontrol -v

Se la configurazione vulnerabile è attiva può essere verificato, secondo l’analisi di SecureLayer7, come segue:

su - zimbra
zmlocalconfig snmp_notify
zmswatchctl status
grep dosnmp /opt/zimbra/conf/swatchrc

Se snmp_notify è impostato su true e swatchdog è attivo, il server è attaccabile su una versione precedente alla 10.1.20.

Cosa si sa sullo sfruttamento

Microsoft descrive la procedura così: swatchdog monitora /var/log/zimbra.log e attiva un trap SNMP in caso di cambiamenti di stato dei servizi. Tramite una richiesta SMTP appositamente predisposta, metacaratteri della shell raggiungono questa elaborazione; quando cambia uno stato, swatchdog inserisce il valore controllato dall’aggressore in una chiamata a snmptrap, eseguita tramite una shell. I comandi vengono eseguiti con i privilegi dell’account di servizio zimbra.

Cronologia secondo le fonti:

1. 26 giugno 2026: Zimbra segnala la vulnerabilità in un Security Advisory con una misura temporanea.

2. 20 luglio 2026: viene pubblicata ZCS 10.1.20 con la correzione permanente.

3. Dal 28 luglio al 7 agosto 2026: Microsoft osserva tentativi di sondaggio del punto di injection con due strumenti diversi.

4. 13 agosto 2026: viene pubblicata la voce CVE.

5. 17 agosto 2026: CERT Polska avverte di una campagna in corso e pubblica indicazioni per le verifiche.

6. 21 agosto 2026: CISA inserisce la vulnerabilità nel catalogo KEV, con scadenza al 24 agosto 2026.

7. 30 settembre 2026: Microsoft pubblica un’analisi degli attacchi con indicatori.

Secondo Help Net Security, la Shadowserver Foundation ha contato il 20 agosto 2026 155 installazioni Zimbra compromesse su Internet, salite a 274 pochi giorni dopo. In quel momento oltre 8200 installazioni non erano aggiornate, sebbene non tutte avessero la configurazione SNMP vulnerabile.

Dopo lo sfruttamento, secondo Microsoft gli aggressori hanno depositato webshell JSP in più directory di Jetty e mailboxd, configurato persistenza tramite un servizio systemd, voci Cron e chiavi SSH e ottenuto privilegi root manipolando la configurazione PAM. Hanno letto credenziali con zmlocalconfig -s, interrogato tramite LDAP gli attributi zimbraPreAuthKey, zimbraAuthTokenKey e zimbraTwoFactorAuthSecret, archiviato il mail store con tar e tentato un’esfiltrazione tramite AzCopy verso Azure Blob Storage; secondo Microsoft non è confermato se il trasferimento sia stato completato. Microsoft menziona inoltre un coin miner. Non si sa chi sia responsabile degli attacchi.

Misure immediate

1. Determinare versione e configurazione con zmcontrol -v, zmlocalconfig snmp_notify e zmswatchctl status (vedi sopra).

2. Prima delle modifiche, verificare eventuali compromissioni e salvare i log, affinché rimanga possibile analizzarli (vedi sezione successiva).

3. Aggiornare a ZCS 10.1.20 o successiva. Zimbra, CERT Polska, CISA e Microsoft lo raccomandano unanimemente. Le installazioni sui rami meno recenti devono passare alla 10.1.20 o successiva.

4. Applicare il workaround fino all’aggiornamento: Microsoft raccomanda di disinstallare il pacchetto zimbra-snmp o disattivare le notifiche SNMP. I comandi sono riportati sotto questo elenco.

5. Ridurre l’esposizione: secondo Microsoft, limitare SNMP e SMTP agli host attendibili, nella misura consentita dal funzionamento della posta. Su un MTA che riceve e-mail da Internet, SMTP rimane raggiungibile; in tal caso l’aggiornamento o il workaround sono le misure efficaci.

Per disattivare le notifiche SNMP, SecureLayer7 indica i seguenti comandi da eseguire come utente zimbra:

zmlocalconfig -e snmp_notify=false
zmswatchctl stop

Successivamente, i trap SNMP in caso di guasti dei servizi non saranno disponibili; fino all’aggiornamento il monitoraggio dovrebbe essere effettuato in altro modo.

Verifica di compromissione

La vulnerabilità è stata sfruttata prima dell’aggiornamento di molti sistemi. L’aggiornamento alla 10.1.20 chiude il vettore d’attacco, ma non rimuove webshell, servizi systemd o chiavi SSH già depositati. Microsoft raccomanda esplicitamente di cercare persistenze ridondanti e di cambiare le chiavi di autenticazione di Zimbra.

Log e directory secondo CERT Polska

CERT Polska indica due verifiche:

1. /var/log/zimbra.log per voci nella forma Service status change: [Payload] changed from stopped to running o changed from running to stopped, nelle quali al posto del nome del servizio compaiono stringhe sospette.

2. File creati dall’utente zimbra negli ultimi 30 giorni, in /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/. Hive Security indica a questo scopo:

find /opt/zimbra/jetty/webapps /opt/zimbra/jetty_base/webapps /tmp -user zimbra -mtime -30 -ls

Poiché secondo Microsoft gli attacchi sono iniziati già alla fine di luglio, può essere opportuno considerare un periodo più lungo di 30 giorni.

Ulteriori tracce secondo Microsoft

Indicatori di rete

Gli indirizzi sono riportati in forma offuscata come nell’analisi Microsoft.

Hash dei file (SHA-256)

In caso di rilevamento

Un rilevamento implica che il sistema sia considerato compromesso. Salvate i log e i file interessati prima di eliminare qualsiasi elemento. Poiché secondo Microsoft gli aggressori hanno ottenuto privilegi root e configurato persistenza in più punti, una ricostruzione su 10.1.20 o successiva è più sicura della rimozione di singoli file. Successivamente devono essere cambiate le credenziali esposte: i valori di zmlocalconfig -s (tra cui password LDAP e del database), zimbraPreAuthKey, zimbraAuthTokenKey e le chiavi SSH dell’utente zimbra. Secondo Microsoft è stato interrogato anche zimbraTwoFactorAuthSecret; le registrazioni a due fattori degli utenti dovrebbero quindi essere configurate nuovamente. Nelle installazioni multi-server, la verifica vale per tutti i nodi, poiché secondo Microsoft gli aggressori hanno identificato server mailbox e MTA con zmprov e utilizzato la chiave SSH per spostarsi tra i server.

Contesto

Sono interessate le organizzazioni che gestiscono Zimbra come server di posta proprio e accettano e-mail direttamente da Internet. La vulnerabilità è raggiungibile attraverso la normale ricezione della posta, senza autenticazione e senza alcuna azione da parte di un utente. La limitazione a zimbra-snmp con notifiche attive riduce il numero di sistemi attaccabili; chi ha configurato il monitoraggio SNMP si trova però proprio in questa configurazione. Secondo SecurityWeek, CISA elenca nel catalogo KEV 18 vulnerabilità di Zimbra, quattro delle quali del 2026; precedenti campagne contro Zimbra sono state attribuite a gruppi sostenuti da Stati e a criminali mossi da motivazioni finanziarie. CERT-FR ha segnalato la vulnerabilità il 19 agosto 2026 insieme a tre ulteriori CVE corrette in Zimbra. Al momento della ricerca non risultava una segnalazione del NCSC Svizzera su CVE-2026-73570.