CVE-2026-73570: Zimbra-kommandoinjeksjon via SNMP utnyttes – oppdater til 10.1.20 og kontroller for kompromittering

I Zimbra Collaboration (ZCS) før versjon 10.1.20 kan en angriper uten innlogging kjøre operativsystemkommandoer med rettighetene til brukeren zimbra, dersom den valgfrie pakken zimbra-snmp er installert og SNMP-varsler er aktivert. Utløseren er en preparert SMTP-forespørsel, altså en e-post til serveren, der innholdet havner ufiltrert i behandlingen av SNMP-varsler. Sårbarheten har identifikatoren CVE-2026-73570 og en CVSS-score på 8.9. Zimbra meldte den 26. juni 2026 og rettet den 20. juli 2026 med versjon 10.1.20. CERT Polska advarte 17. august 2026 om en pågående angrepskampanje; den amerikanske myndigheten CISA la sårbarheten til i katalogen over aktivt utnyttede sårbarheter (KEV) 21. august 2026. Oppdateringen er tilgjengelig.

Det viktigste kort oppsummert

Berørte versjoner og oppdateringer

Bare installasjoner der zimbra-snmp er installert og SNMP-varsler er aktivert, er berørt. Ifølge CERT Polska kjører tjenesten swatchdog, som behandler varslene, som standard. Uten zimbra-snmp kan en server ifølge advisory-beskrivelsen ikke angripes via denne veien; oppdateringen til 10.1.20 retter dessuten andre sårbarheter (XSS i Classic Web Client, omgåelse av videresendingsbegrensninger, SSRF i Nextcloud-integrasjonen, tilgangskontroller i EWS og ved postboksdelegering) og er derfor fornuftig også uten SNMP.

Den installerte versjonen vises av zmcontrol -v som brukeren zimbra (utgivelsesnummer, bygg, plattform, byggedato ifølge Zimbra-Wiki):

su - zimbra
zmcontrol -v

Om den sårbare konfigurasjonen er aktiv, kan kontrolleres slik ifølge analysen fra SecureLayer7:

su - zimbra
zmlocalconfig snmp_notify
zmswatchctl status
grep dosnmp /opt/zimbra/conf/swatchrc

Hvis snmp_notify er satt til true og swatchdog er aktiv, kan serveren angripes på en versjon før 10.1.20.

Hva som er kjent om utnyttelsen

Microsoft beskriver forløpet slik: swatchdog overvåker /var/log/zimbra.log og utløser en SNMP-trap ved statusendringer i tjenester. Via en preparert SMTP-forespørsel havner Shell-metategn i denne behandlingen; ved en statusendring overtar swatchdog den angriperkontrollerte verdien i et kall til snmptrap, som kjører via et Shell. Kommandoene kjører med rettighetene til tjenestekontoen zimbra.

Tidslinje ifølge kildene:

1. 26. juni 2026: Zimbra melder sårbarheten i et Security Advisory med et midlertidig tiltak.

2. 20. juli 2026: ZCS 10.1.20 utgis med den permanente rettelsen.

3. 28. juli til 7. august 2026: Microsoft observerer sondering av injeksjonspunktet med to ulike verktøy.

4. 13. august 2026: CVE-oppføringen publiseres.

5. 17. august 2026: CERT Polska advarer om en pågående kampanje og publiserer kontrollveiledning.

6. 21. august 2026: CISA legger sårbarheten til i KEV-katalogen, med frist til 24. august 2026.

7. 30. september 2026: Microsoft publiserer en analyse av angrepene med indikatorer.

Ifølge Help Net Security telte Shadowserver Foundation 20. august 2026 155 kompromitterte Zimbra-installasjoner på internett, og noen dager senere 274. På dette tidspunktet var over 8200 installasjoner ikke oppdatert, men ikke alle har den sårbare SNMP-konfigurasjonen.

Etter utnyttelsen har angriperne ifølge Microsoft lagt JSP-webskall i flere kataloger for Jetty og mailboxd, opprettet persistens via en systemd-tjeneste, Cron-oppføringer og SSH-nøkler, samt oppnådd root-rettigheter gjennom manipulering av PAM-konfigurasjonen. De har lest ut påloggingsopplysninger med zmlocalconfig -s, spurt etter attributtene zimbraPreAuthKey, zimbraAuthTokenKey og zimbraTwoFactorAuthSecret via LDAP, arkivert e-postlageret med tar og forsøkt eksfiltrering via AzCopy til Azure Blob Storage; om overføringen ble fullført, er ifølge Microsoft ikke bekreftet. Microsoft nevner også en Coin-Miner. Det er ikke kjent hvem som står bak angrepene.

Umiddelbare tiltak

1. Fastslå versjon og konfigurasjon med zmcontrol -v, zmlocalconfig snmp_notify og zmswatchctl status (se ovenfor).

2. Kontroller for kompromittering før endringer og sikre logger, slik at analyse fortsatt er mulig (se neste avsnitt).

3. Oppdater til ZCS 10.1.20 eller nyere. Dette anbefales samstemt av Zimbra, CERT Polska, CISA og Microsoft. Installasjoner på eldre grener må bytte til 10.1.20 eller nyere.

4. Iverksett den midlertidige løsningen frem til oppdateringen: Microsoft anbefaler å avinstallere pakken zimbra-snmp eller deaktivere SNMP-varsler. Kommandoene for dette står under denne listen.

5. Reduser eksponeringen: Begrens SNMP og SMTP til klarerte verter ifølge Microsoft, så langt e-postdriften tillater det. På en MTA som mottar e-post fra internett, forblir SMTP tilgjengelig; der er oppdatering eller midlertidig løsning de effektive tiltakene.

For å deaktivere SNMP-varsler oppgir SecureLayer7 følgende kommandoer som brukeren zimbra:

zmlocalconfig -e snmp_notify=false
zmswatchctl stop

Deretter mangler SNMP-traps ved tjenesteutfall; overvåkingen bør utføres på en annen måte frem til oppdateringen.

Kontroll for kompromittering

Sårbarheten ble utnyttet før mange systemer ble oppdatert. En oppdatering til 10.1.20 stenger angrepsveien, men fjerner ikke webskall, systemd-tjenester eller SSH-nøkler som allerede er lagt inn. Microsoft anbefaler uttrykkelig å se etter redundant persistens og å bytte Zimbras autentiseringsnøkler.

Logger og kataloger ifølge CERT Polska

CERT Polska nevner to kontroller:

1. /var/log/zimbra.log for oppføringer i formen Service status change: [Payload] changed from stopped to running eller changed from running to stopped, der det finnes iøynefallende tegnstrenger der tjenestenavnet skal stå.

2. Filer opprettet av brukeren zimbra de siste 30 dagene, i /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ og /tmp/. Hive Security oppgir følgende:

find /opt/zimbra/jetty/webapps /opt/zimbra/jetty_base/webapps /tmp -user zimbra -mtime -30 -ls

Siden angrepene ifølge Microsoft startet allerede i slutten av juli, kan en lengre periode enn 30 dager være fornuftig.

Andre spor ifølge Microsoft

Nettverksindikatorer

Adressene er skrevet maskert, som i Microsoft-analysen.

Filhashes (SHA-256)

Ved funn

Et treff betyr at systemet anses som kompromittert. Sikre logger og berørte filer før du sletter noe. Fordi angriperne ifølge Microsoft har oppnådd root-rettigheter og etablert persistens flere steder, er en nyoppbygging på 10.1.20 eller nyere sikrere enn å fjerne enkeltfiler. Deretter må de uttrukne hemmelighetene byttes: verdiene fra zmlocalconfig -s (blant annet LDAP- og databasepassord), zimbraPreAuthKey, zimbraAuthTokenKey og SSH-nøklene til brukeren zimbra. Ifølge Microsoft ble også zimbraTwoFactorAuthSecret spurt etter; brukernes tofaktorregistreringer bør derfor konfigureres på nytt. Ved fler-server-installasjoner gjelder kontrollen for alle noder, da angriperne ifølge Microsoft identifiserte postboks- og MTA-servere med zmprov og brukte SSH-nøkkelen til bevegelse mellom serverne.

Vurdering

Berørt er organisasjoner som driver Zimbra som egen e-postserver og tar imot e-post direkte fra internett. Sårbarheten kan nås via ordinær e-postmottak, uten innlogging og uten at en bruker foretar seg noe. Begrensningen til zimbra-snmp med aktive varsler reduserer antallet systemer som kan angripes; men de som har konfigurert SNMP-overvåking, befinner seg nettopp i denne konfigurasjonen. Ifølge SecurityWeek har CISA 18 Zimbra-sårbarheter i KEV-katalogen, hvorav fire fra 2026; tidligere kampanjer mot Zimbra har blitt knyttet til statsstøttede grupper og økonomisk motiverte kriminelle. CERT-FR meldte sårbarheten 19. august 2026 sammen med tre andre CVE-er rettet i Zimbra. Det forelå ingen melding fra NCSC Sveits om CVE-2026-73570 på tidspunktet for undersøkelsen.