Zimbraの重大な欠陥悪用で、メールと認証情報の収集活動

SNMPの条件下で細工したメールを悪用

Ars Technicaは、攻撃者がZimbra Collaboration SuiteのCVE-2026-73570を悪用したと報じた。
この欠陥は、オプションのzimbra-snmpパッケージが導入され、SNMP通知が有効な場合、細工したメールを介して認証情報なしにOSコマンドを実行できるようにするという。

Microsoftは7月28日から8月7日にかけての探索活動と、その後の不正ペイロード、ウェブシェル、リモートアクセス用ツールの設置、メールへのアクセス、認証情報とメールボックスのデータ収集を観測したとした。
Shadowserver Foundationは、スキャンで侵害されたZimbraのインスタンス274件を見つけたと述べた。

影響を受けたシステムについて悪用前と比較できる状態は、今回の情報だけでは分からない。

報じられた変化は、公開済みの脆弱性が、メールのバックアップや認証・メールボックスのデータ取得を狙う悪用活動で観測された点にある。
Microsoftは、データが実際に持ち出されたかは確認できなかったとしている。

収集活動と持ち出し成功を分ける

この報告は、メールサーバーソフトの認証不要なコマンドインジェクション（不正な入力でコマンドを実行させる欠陥）が、メールや認証情報へ到達する経路になり得ることを示している。
複数の地域と業種で影響組織が観測された一方、データの持ち出し成功は未確認とされる。