Zimbra CVE-2026-73570: breșă SNMP exploatată înainte de anunț

O vulnerabilitate din Zimbra Collaboration Suite (ZCS), CVE-2026-73570, a fost exploatată înainte de a fi făcută publică. Permite unui atacator neautentificat să execute comenzi ale sistemului de operare trimițând conținut construit special către serviciul SMTP al serverului de e-mail. Microsoft Threat Intelligence a descris intruziunile care au urmat: web shell-uri, escaladarea privilegiilor, colectarea credențialelor și arhive ale căsuțelor pregătite pentru a fi scoase din rețea. Corecția există începând cu versiunea 10.1.20.

Ce s-a întâmplat

Zimbra a lansat versiunea 10.1.20 pe 20 iulie, dar vulnerabilitatea a fost dezvăluită abia pe 13 august. Între timp, între 28 iulie și 7 august, Microsoft a observat două instrumente de scanare diferite care testau pe Internet exact componenta folosită apoi în atacuri.

Atacatorii au verificat mai întâi că exploit-ul funcționează: făceau serverele vulnerabile să contacteze o infrastructură aflată sub controlul lor, prin cereri HTTP și DNS, ping-uri ICMP și alte verificări out-of-band. Astfel confirmau execuția comenzilor fără să compromită încă serverul. Apoi au trecut la instalarea payload-urilor.

Potrivit Microsoft, activitatea a lovit organizații din mai multe regiuni și sectoare, cu o parte automatizată și o parte desfășurată manual pe serverele compromise. Atacurile nu au fost atribuite unui grup anume.

Shadowserver, citat de Ars Technica, a numărat 274 de instanțe ZCS compromise. Serverele Zimbra vizibile pe Internet erau circa 19.000 în săptămâna de după patch și circa 10.000 la sfârșitul lui septembrie.

Detalii tehnice

• CVE: CVE-2026-73570, injecție de comenzi fără autentificare. CERTuy (Uruguay) indică un scor CVSS de 8.9, în timp ce Ars Technica și The Register o descriu drept critică.
• Versiuni afectate: Zimbra Collaboration Suite anterioare versiunii 10.1.20.
• Condiții necesare: trebuie să fie instalat pachetul opțional zimbra-snmp și să fie active notificările SNMP. CERTuy precizează: parametrul snmp_notify activ și serviciul swatchdog în execuție.
• Vector: rețea, prin SMTP. Conținutul cererii ajunge la procesarea notificărilor SNMP fără să fie curățat, iar comenzile shell injectate se execută cu privilegiile contului de serviciu zimbra.
• Privilegii inițiale: cele ale utilizatorului zimbra, nu root. Sunt totuși suficiente pentru a citi configurația, datele și căsuțele platformei.

Lanțul de atac observat

Microsoft, în reconstituirea preluată de The Register și Ars Technica, descrie aceste etape:

1. Recunoaștere și verificare: scanări și callback-uri out-of-band pentru a confirma execuția comenzilor.
2. Acces și persistență: web shell-uri JSP, reverse shell-uri, instrumente de acces la distanță persistent și execuție în memorie. În unele cazuri, permisiunile directoarelor publice au fost modificate pentru a plasa web shell-urile și apoi readuse la starea inițială, ca intruziunea să fie mai greu de observat.
3. Escaladare: pe cel puțin o mașină atacatorii au obținut root și și-au configurat posibilitatea de a rula comenzi cu cele mai înalte privilegii fără parolă.
4. Mișcare laterală: au căutat alte servere de e-mail și au folosit relațiile de încredere SSH deja existente între sistemele Zimbra.
5. Colectare: credențiale și secrete de autentificare Zimbra. Un instrument era creat special pentru a extrage credențialele contului de serviciu și informațiile despre căsuțe din bazele de date Zimbra.
6. Exfiltrare încercată: backup-urile recente ale căsuțelor au fost comprimate într-o arhivă și trimise spre Azure Blob Storage cu AzCopy. Microsoft nu a putut confirma dacă transferul a reușit.

CERTuy adaugă că, potrivit rapoartelor analizate, pe unele servere compromise a apărut și software de minare de criptomonede. Avertizează să nu oprești investigația la miner, pentru că pot exista și alte mecanisme de persistență.

MITRE ATT&CK (corespondența noastră pentru comportamentele descrise): T1595 Active Scanning, T1190 Exploit Public-Facing Application, T1059.004 Unix Shell, T1505.003 Web Shell, T1222.002 Linux File and Directory Permissions Modification, T1021.004 SSH, T1114.001 Local Email Collection, T1560 Archive Collected Data, T1567.002 Exfiltration to Cloud Storage, T1496 Resource Hijacking.

Impactul pentru companiile europene și italiene

Serverul de e-mail păstrează comunicări, atașamente și credențiale. Cine îl controlează poate citi corespondența, poate fura identități și poate pregăti alte atacuri din interior. Actualizarea închide breșa, dar nu elimină web shell-urile, cheile SSH sau alte mecanisme de persistență instalate înainte. De aceea trebuie verificat fiecare server care a rămas expus și vulnerabil după 28 iulie.

Pentru entitățile NIS2, compromiterea serverului de e-mail poate fi un incident semnificativ care trebuie notificat CSIRT-ului național: în Italia, CSIRT Italia din cadrul ACN, în România, DNSC. Dacă în căsuțe există date cu caracter personal, și aproape mereu există, trebuie evaluată și notificarea încălcării securității datelor către autoritatea de protecție a datelor, conform GDPR. În sănătate, unde e-mailurile pot conține date medicale, accesul la căsuțe și la backup-urile lor contează și mai mult.

Ce să faci acum

1. Inventar: găsește toate instalările Zimbra, inclusiv cele administrate de furnizori, și verifică-le versiunea.
2. Actualizează la Zimbra Collaboration 10.1.20 sau ulterioară. Versiunile fără suport trebuie migrate pe o ramură suportată.
3. Dacă nu poți actualiza imediat: dezactivează notificările SNMP (snmp_notify) sau elimină pachetul zimbra-snmp, dacă nu ai nevoie de ele. Ia în calcul să scoți de pe Internet serverele pe care nu le poți nici actualiza, nici proteja altfel. Sunt măsuri temporare.
4. Verifică configurația: prezența zimbra-snmp, valoarea snmp_notify, starea swatchdog și de când era serverul expus în condiții vulnerabile.
5. Caută semne de exploatare, cum recomandă CERTuy:
   • în /var/log/zimbra.log, linii Service status change: … changed from stopped to running (sau from running to stopped) care conțin comenzi, caractere speciale sau substituții de shell;
   • fișiere create sau modificate de utilizatorul zimbra în /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/, /tmp/, /var/tmp/ și /dev/shm/;
   • procese ale utilizatorului zimbra cu consum anormal de CPU, folosirea curl sau wget, procese pornite din directoare temporare;
   • sarcini programate, servicii, scripturi de pornire și chei SSH noi sau modificate, inclusiv permisiunile sudo;
   • conexiuni de ieșire neobișnuite, spre pool-uri de minare sau servicii de stocare în cloud precum Azure Blob;
   • accesări nerecunoscute ale căsuțelor și ale conturilor de administrare.
6. Dacă găsești indicii: păstrează logurile și dovezile înainte să ștergi fișiere sau să oprești procese, izolează serverul și tratează cazul ca incident. Schimbă credențialele contului de serviciu și ale utilizatorilor și verifică serverele accesibile prin SSH de pe cel compromis. Lipsa liniilor suspecte din loguri nu este suficientă pentru a exclude exploatarea, mai ales dacă logurile au fost rotite.

Cum te ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: un server Zimbra accesibil și neactualizat apare printre constatări. Pe serverele Linux, agentul ARX Sentry colectează loguri, procese, porturi și modificările fișierelor din directoarele alese, cum sunt cele ale aplicațiilor web Zimbra. ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet și îți permite să izolezi de rețea o mașină suspectă. Cu ARX Trace, analiștii pot lansa colectări și căutări pe mai multe servere.

Ultima actualizare: 9 octombrie 2026