Lỗ hổng nghiêm trọng của Zimbra bị khai thác để đánh cắp email
"Attackers have been exploiting CVE-2026-73570, a critical Zimbra Collaboration Suite flaw that allows unauthenticated remote OS command execution via crafted email/SNMP notification processing when the optional zimbra-snmp package and SNMP notifications are enabled. Microsoft observed exploitation leading to web shell deployment, reverse shells, privilege escalation, and mailbox/authentication data collection; the recommended fix is to upgrade ZCS to version 10.1.20 or later."
CVE-2026-73570 cho phép thực thi lệnh từ xa không cần xác thực; đã ghi nhận web shell, reverse shell và thu thập email/credential.
Có thể gây rò rỉ dữ liệu hộp thư, gián đoạn vận hành và phát sinh chi phí ứng phó sự cố; ảnh hưởng tới nhiều khu vực và ngành.
Microsoft cảnh báo các tổ chức đang bị khai thác qua CVE-2026-73570, một lỗ hổng nghiêm trọng trong Zimbra Collaboration Suite (ZCS) cho phép thực thi lệnh hệ điều hành từ xa mà không cần xác thực. Lỗ hổng này chỉ bị kích hoạt khi gói tùy chọn zimbra-snmp được cài đặt và SNMP notifications đang bật, khiến đầu vào từ email có thể đi vào luồng xử lý thông báo SNMP và dẫn đến thực thi lệnh.
Theo quan sát của Microsoft, kẻ tấn công đã dùng nhiều công cụ quét để xác minh khai thác, sau đó triển khai JSP web shell, reverse shell, thực hiện nâng quyền, duy trì truy cập từ xa và thu thập dữ liệu hộp thư cùng thông tin xác thực. Hoạt động này được ghi nhận ở nhiều khu vực và ngành khác nhau. Shadowserver cho biết đã phát hiện 274 phiên bản ZCS bị xâm phạm, trong khi số lượng máy chủ được theo dõi hiện vào khoảng 10.000.
Khuyến nghị kỹ thuật là nâng cấp ZCS lên phiên bản 10.1.20 hoặc mới hơn và rà soát cấu hình zimbra-snmp/SNMP notifications. Các đội vận hành nên kiểm tra dấu hiệu web shell, lưu lượng bất thường, thay đổi quyền truy cập và hoạt động sao lưu hoặc xuất dữ liệu email trái phép.