CVE-2026-73570: Zimbra Collaboration: OS Command Injection

Analyse på rafaelpfister.ch

Artikkel · 6. oktober 2026 · kun på tysk CVE-2026-73570: Zimbra Command Injection über SNMP wird ausgenutzt - Update auf 10.1.20 und Prüfung auf Kompromittierung Eine präparierte E-Mail genügt: Auf Zimbra-Servern mit dem Paket zimbra-snmp und aktivierten SNMP-Benachrichtigungen führen Angreifer ohne Anmeldung Befehle als Benutzer zimbra aus (CVE-2026-73570, CVSS 8.9). Die Lücke wird ausgenutzt und ist in 10.1.20 behoben. Nötig sind das Update, bis dahin der Workaround, und eine Prüfung auf Webshells und Persistenz.

Produsentens beskrivelse (engelsk)

A remote code execution vulnerability exists in Zimbra Collaboration (ZCS) before 10.1.20 when the optional zimbra-snmp package is installed and SNMP notifications are enabled. Due to improper sanitization of untrusted input during SNMP notification processing, an unauthenticated attacker can send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.

Referansedata

Produsent

Zimbra

Berørte produkter

Collaboration

CVSS 3.1

8.9 (HIGH)

Vektor

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Type svakhet

CWE-78: OS Command Injection

Publisert

13. august 2026

I KEV-katalogen siden

21. august 2026

Frist amerikanske føderale etater

24. august 2026

Offisielle kilder

← Alle sårbarheter