Khai thác lỗ hổng Zimbra để cài web shell và đánh cắp thông tin xác thực
"Attackers exploited CVE-2026-73570, an unauthenticated command injection flaw in Zimbra Collaboration Suite, to gain remote code execution on exposed servers and deploy JSP web shells, reverse shells, and persistence mechanisms. Microsoft reported post-exploitation activity including credential harvesting, mailbox access, lateral movement, and data exfiltration; Zimbra patched the issue in version 10.1.20, and CISA later added it to the KEV catalog."
Rủi ro cao do thực thi mã từ xa không cần xác thực, có thể dẫn tới đánh cắp thông tin xác thực và truy cập email trái phép.
Có thể gây gián đoạn dịch vụ email, lộ dữ liệu nhạy cảm và tạo chi phí xử lý sự cố, khôi phục hệ thống.
Microsoft Security Research cho biết các tác nhân đe dọa đã khai thác CVE-2026-73570 trong Zimbra Collaboration Suite (ZCS) để thực thi mã từ xa trên các máy chủ lộ diện, sau đó triển khai JSP web shell, reverse shell và nhiều cơ chế duy trì truy cập. Lỗ hổng này là lỗi command injection không cần xác thực, có thể bị kích hoạt qua một yêu cầu SMTP được tạo đặc biệt khi SNMP notifications được bật và gói tùy chọn zimbra-snmp được cài đặt.
Theo ghi nhận, sau khi xâm nhập, kẻ tấn công đã thu thập thông tin xác thực, truy cập mailbox, di chuyển ngang trong môi trường và có dấu hiệu trích xuất dữ liệu. Một số bước còn bao gồm dùng zmlocalconfig -s để lấy bí mật cấu hình, khai thác khóa LDAP, và tận dụng SSH identity của Zimbra để lan sang các nút tin cậy khác. Microsoft cũng quan sát các kỹ thuật duy trì như systemd service, cron, OpenRC, và các tệp khởi động shell.
Zimbra 10.1.20 đã vá lỗi từ tháng 7/2026, và CISA sau đó đưa lỗ hổng vào KEV catalog. Đội vận hành nên ưu tiên cập nhật, rà soát /var/log/zimbra.log, kiểm tra thư mục tạm và webapps, đồng thời tìm dấu hiệu web shell, tiến trình lạ và thay đổi quyền thư mục bất thường.