Microsoft cảnh báo khai thác lỗ hổng Zimbra trước khi công bố
"Microsoft reported active exploitation of CVE-2026-73570, an unauthenticated command injection flaw in Zimbra Collaboration Suite affecting systems with the optional SNMP monitoring package and notifications enabled. Zimbra fixed the issue in version 10.1.20 on July 20, before public disclosure on August 13; Microsoft observed probing weeks earlier and later-stage attacks involving web shells, reverse shells, privilege escalation, credential theft, and attempted mailbox exfiltration."
CVE-2026-73570 có thể cho phép thực thi lệnh từ xa trên máy chủ thư lộ Internet; đã có dấu hiệu khai thác thực tế trước khi công bố.
Nguy cơ gián đoạn email, rò rỉ thông tin xác thực và thất thoát dữ liệu hộp thư có thể ảnh hưởng trực tiếp đến vận hành và tuân thủ.
Microsoft Threat Intelligence cho biết đã ghi nhận hoạt động khai thác CVE-2026-73570 trên Zimbra Collaboration Suite trước khi lỗ hổng này được công bố rộng rãi. Đây là lỗi command injection không cần xác thực, chỉ ảnh hưởng đến các hệ thống dùng gói SNMP monitoring tùy chọn và đã bật notifications. Kẻ tấn công có thể gửi email được tạo đặc biệt tới máy chủ Zimbra lộ ra Internet để thực thi lệnh từ xa.
Theo Microsoft, Zimbra đã phát hành bản vá trong version 10.1.20 vào 20/7, trong khi công bố công khai diễn ra ngày 13/8. Trước đó, từ 28/7 đến 7/8, Microsoft quan sát thấy hoạt động quét và thăm dò nhắm vào cùng khu vực bị khai thác sau này. Giai đoạn sau cho thấy mức độ xâm nhập sâu hơn, gồm triển khai web shell, reverse shell, nâng quyền, đánh cắp thông tin xác thực và cố gắng trích xuất dữ liệu hộp thư.
Khuyến nghị: quản trị viên nên nâng cấp lên 10.1.20 hoặc mới hơn. Nếu chưa thể vá ngay, cần gỡ gói SNMP tùy chọn hoặc tắt SNMP notifications để giảm bề mặt tấn công, đồng thời rà soát dấu hiệu xâm nhập và kiểm tra quyền truy cập trên các máy chủ thư.