Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die zivilen Bundesbehörden der US-Exekutive angewiesen, ihre Systeme der Zimbra Collaboration Suite (ZCS) innerhalb von drei Tagen zu aktualisieren, nachdem die Ausnutzung einer Sicherheitslücke in realen Angriffen bestätigt und die Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen wurde.
Die Schwachstelle mit der Kennung CVE-2026-73570 ermöglicht es einem nicht authentifizierten Angreifer, über eine Befehlsinjektion in der SNMP-Überwachungskomponente Befehle aus der Ferne auszuführen, wenn SNMP-Benachrichtigungen auf dem Zielserver aktiviert sind. Laut dem Zimbra-Team entsteht das Problem durch eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Dadurch können speziell präparierte SMTP-Anfragen gesendet werden, die möglicherweise zur Ausführung von Betriebssystembefehlen mit den Rechten des Benutzers zimbra führen.
Version, die das Problem behebt
Das Zimbra-Team hat die Schwachstelle in Version 10.1.20 behoben, die am 20. Juli veröffentlicht wurde. Die erforderliche Maßnahme beschränkt sich damit nicht auf die Überwachung verdächtiger Aktivitäten: Einrichtungen, die weiterhin eine betroffene Version betreiben, müssen gemäß ihrem dringenden Sicherheitsplan auf die behobene Version wechseln, wobei im Internet exponierte Server vorrangig behandelt werden sollten.
Die Maßnahme der CISA erfolgte, nachdem das polnische Computer Emergency Response Team CERT Polska auf die Ausnutzung der Schwachstelle in freier Wildbahn hingewiesen hatte. Am Montag erklärte Shadowserver, bei der Suche nach Spuren einer Ausnutzung von CVE-2026-73570 mehr als 270 kompromittierte Zimbra-Instanzen beobachtet zu haben. Gleichzeitig verfolgt die Organisation mehr als 12.000 im Internet exponierte Zimbra-Server. Aus den verfügbaren Daten geht nicht hervor, wie viele dieser Server Honeypots darstellen oder bereits abgesichert wurden.
Was sollte praktisch überprüft werden?
Die CISA hat keine Einzelheiten zu den laufenden Angriffen veröffentlicht. CERT Polska forderte Sicherheitsteams jedoch auf, die Protokolle auf entsprechende Hinweise zu überprüfen, darunter ein unerwarteter Neustart des Zimbra-Dienstes oder die Erstellung von Dateien innerhalb der vergangenen 30 Tage durch den Benutzer zimbra in den folgenden Pfaden:
- /opt/zimbra/jetty/webapps/
- /opt/zimbra/jetty_base/webapps/
- /tmp/
Warum ist diese Nachricht wichtig?
Die Bedeutung der Schwachstelle ergibt sich aus dem Zusammentreffen von drei Faktoren: Es ist keine Authentifizierung erforderlich, Befehle können auf dem Server ausgeführt werden, und es gibt eine aktive Ausnutzung. Das Risiko ist für Organisationen, die ZCS für E-Mail und Zusammenarbeit einsetzen und deren Schnittstellen oder Komponenten dem Internet aussetzen, besonders unmittelbar, da ein kompromittierter Mailserver dem Angreifer abhängig vom Berechtigungsniveau und den umgebenden Sicherheitskontrollen einen Zugangspunkt zu Kommunikation und sensiblen Daten verschaffen kann.
Die Warnung fügt sich zudem in ein wiederkehrendes Muster von Angriffen auf Zimbra ein. Im März berichteten Forscher von Seqrite Labs über die Ausnutzung einer gespeicherten XSS-Schwachstelle durch die Gruppe APT28 gegen ZCS-Server ukrainischer Regierungsstellen. Im Oktober 2024 warnten US-amerikanische und britische Stellen vor der gezielten Ausnutzung von Zimbra-Servern durch APT29 mit einer Schwachstelle, die zuvor zum Diebstahl von E-Mail-Zugangsdaten verwendet worden war. Zuvor war auch eine reflektierte XSS-Schwachstelle zum Diebstahl von Nachrichten genutzt worden, die Personen und Organisationen mit Verbindung zur NATO betrafen.
Die praktische Schlussfolgerung aus den verfügbaren Informationen ist eindeutig: Version 10.1.20 oder den entsprechenden Patch unverzüglich installieren und anschließend Protokolle und Dateien auf Hinweise auf eine Kompromittierung überprüfen. Die Quelle legt jedoch weder den Umfang der Kampagne noch die Identität der Angreifer offen und gibt auch nicht an, ob die behobene Version alle ZCS-Zweige abdeckt. Diese Punkte müssen von Zimbra und den Incident-Response-Teams weiterverfolgt werden.