CVE-2026-73570: Zimbra Collaboration: OS Command Injection

Analys på rafaelpfister.ch

Artikel · 6 oktober 2026 · endast på tyska CVE-2026-73570: Zimbra Command Injection über SNMP wird ausgenutzt - Update auf 10.1.20 und Prüfung auf Kompromittierung Eine präparierte E-Mail genügt: Auf Zimbra-Servern mit dem Paket zimbra-snmp und aktivierten SNMP-Benachrichtigungen führen Angreifer ohne Anmeldung Befehle als Benutzer zimbra aus (CVE-2026-73570, CVSS 8.9). Die Lücke wird ausgenutzt und ist in 10.1.20 behoben. Nötig sind das Update, bis dahin der Workaround, und eine Prüfung auf Webshells und Persistenz.

Tillverkarens beskrivning (engelska)

A remote code execution vulnerability exists in Zimbra Collaboration (ZCS) before 10.1.20 when the optional zimbra-snmp package is installed and SNMP notifications are enabled. Due to improper sanitization of untrusted input during SNMP notification processing, an unauthenticated attacker can send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.

Referensdata

Tillverkare

Zimbra

Berörda produkter

Collaboration

CVSS 3.1

8.9 (HIGH)

Vektor

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Typ av svaghet

CWE-78: OS Command Injection

Publicerad

13 augusti 2026

I KEV-katalogen sedan

21 augusti 2026

Tidsfrist amerikanska federala myndigheter

24 augusti 2026

Officiella källor

← Alla sårbarheter