米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、米国行政府の連邦民間機関に対し、Zimbra Collaboration Suite（ZCS）のシステムを3日以内に更新するよう命じた。これは、実際の攻撃でセキュリティ脆弱性が悪用されたことが確認され、既知の悪用脆弱性カタログ（KEV）に追加されたことを受けたものだ。
識別子CVE-2026-73570が付与されたこの脆弱性により、標的サーバーでSNMP通知が有効になっている場合、認証されていない攻撃者がSNMP監視コンポーネントのコマンドインジェクションの欠陥を通じて、リモートでコマンドを実行できる。Zimbraチームによると、この問題はSNMP通知の処理中に信頼できない入力がサニタイズされないことに起因し、細工されたSMTPリクエストを送信することで、zimbraユーザーの権限によるOSコマンドの実行につながる可能性がある。
問題を修正するバージョン
Zimbraチームは、7月20日にリリースされた10.1.20でこの欠陥を修正した。したがって、必要な対応は不審な活動の監視だけにとどまらない。影響を受けるバージョンを引き続き実行している組織は、緊急のセキュリティスケジュールに従って修正版へ移行する必要があり、インターネットに公開されたサーバーを優先しなければならない。
CISAの対応は、ポーランドのコンピューターインシデント対応チームCERT Polskaが、この脆弱性が実環境で標的にされていると警告した後に行われた。月曜日、Shadowserverは、CVE-2026-73570の悪用痕跡を探す中で、270を超える侵害されたZimbraインスタンスを確認したと発表した。一方、同団体はインターネットに公開された1万2,000台を超えるZimbraサーバーを追跡している。公開されているデータでは、これらのサーバーのうち何台がハニーポットなのか、またはすでに保護されたのかは明らかになっていない。
実際に何を確認すべきか？
CISAは進行中の攻撃に関する詳細を公表していないが、CERT Polskaはセキュリティチームに対し、予期しないZimbraサービスの再起動や、zimbraユーザーによって過去30日以内に以下のパスへ作成されたファイルなどの痕跡を求めてログを確認するよう要請した。
- /opt/zimbra/jetty/webapps/
- /opt/zimbra/jetty_base/webapps/
- /tmp/
なぜこのニュースが重要なのか？
この脆弱性が重要なのは、認証を必要としないこと、サーバー上でコマンドを実行できること、そして実際の悪用が存在することという3つの要因が重なっているためだ。ZCSをメールやコラボレーションに利用し、そのインターフェースやコンポーネントをインターネットに公開している組織にとって、リスクはより直接的になる。メールサーバーを侵害されると、システムの権限レベルや周辺の管理策に応じて、攻撃者が通信や機密データへのアクセス拠点を得る可能性がある。
今回の警告は、Zimbraが繰り返し標的にされているパターンの中で発せられたものでもある。Seqrite Labsの研究者は3月、APT28がウクライナ政府のZCSサーバーに対して、保存型XSSの脆弱性を悪用していると報告した。一方、米国と英国の当局は2024年10月、APT29が、過去にメール認証情報の窃取に使われた欠陥を利用してZimbraサーバーを標的にしていると警告した。これ以前にも、反射型XSSの脆弱性が、北大西洋条約機構（NATO）に関連する個人や組織のメッセージを盗むために利用されていた。
公開されている情報から導かれる実務上の結論は明確だ。直ちにバージョン10.1.20または適切な修正を適用し、その後、侵害の痕跡がないかログとファイルを確認すべきである。ただし、情報源はキャンペーンの範囲、攻撃者の身元、修正版がZCSのすべてのブランチを対象としているかどうかを明らかにしていない。これらの点については、Zimbraおよびインシデント対応チームによる追加の追跡が必要だ。