CERT Polska ostrzega przed aktywnie wykorzystywaną podatnością CVE-2026-73570 w Zimbra Collaboration Suite. Luka typu OS Command Injection pozwala nieuwierzytelnionemu atakującemu wykonywać dowolne komendy powłoki z uprawnieniami użytkownika zimbra. Problem nie dotyczy każdej konfiguracji – wymagane jest włączenie mechanizmu pułapek SNMP oraz działająca usługa swatchdog. Podatność została naprawiona w Zimbra 10.1.20.

Na czym polega CVE-2026-73570?

Zgodnie z ostrzeżeniem CERT Polska atak nie wymaga wcześniejszego uwierzytelnienia. Jeżeli podatna instancja ma włączone snmp_notify i działa swatchdog, napastnik może doprowadzić do wykonania polecenia systemowego jako użytkownik Zimbra.

To istotne, bo nie mówimy o teoretycznej luce znalezionej podczas audytu. CERT Polska informuje o trwającej kampanii, w której podatność jest już wykorzystywana.

Jak sprawdzić, czy Zimbra mogła zostać zaatakowana?

CERT zaleca sprawdzenie /var/log/zimbra.log pod kątem nietypowych wpisów „Service status change” zawierających złośliwy ładunek. Warto również przejrzeć pliki utworzone przez użytkownika zimbra w ostatnich 30 dniach m.in. w katalogach /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ oraz /tmp/.

Czy podatność została naprawiona?

Tak. Poprawka znajduje się w Zimbra 10.1.20. Administratorzy podatnych instancji powinni zaktualizować system, a przy oznakach wykorzystania luki potraktować zdarzenie jako potencjalne naruszenie serwera, a nie tylko problem wymagający instalacji nowej wersji.

Źródło: CERT Polska – Aktywnie wykorzystywana podatność w Zimbra Collaboration Suite