A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) ordenou que as agências civis federais do Poder Executivo dos EUA atualizem os sistemas Zimbra Collaboration Suite (ZCS) em três dias, após a confirmação da exploração de uma vulnerabilidade de segurança em ataques reais e sua inclusão no catálogo de vulnerabilidades exploradas conhecidas (KEV).
A vulnerabilidade, identificada como CVE-2026-73570, permite que um invasor não autenticado execute comandos remotamente por meio de uma falha de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão ativadas no servidor-alvo. Segundo a equipe do Zimbra, o problema decorre da falta de sanitização de entradas não confiáveis durante o processamento de notificações SNMP, o que permite o envio de solicitações SMTP especialmente elaboradas que podem levar à execução de comandos do sistema operacional com as permissões do usuário zimbra.
A versão que corrige o problema
A equipe do Zimbra corrigiu a falha na versão 10.1.20, lançada em 20 de julho. Assim, a medida necessária não se limita ao monitoramento de atividades suspeitas; as entidades que ainda executam uma versão afetada devem migrar para a versão corrigida de acordo com seu cronograma de segurança urgente, priorizando os servidores expostos na internet.
A CISA agiu depois que a equipe polonesa de resposta a incidentes de segurança cibernética CERT Polska alertou sobre a exploração da vulnerabilidade em ambiente real. Na segunda-feira, a Shadowserver afirmou ter detectado mais de 270 instâncias comprometidas do Zimbra durante a busca por vestígios de exploração da CVE-2026-73570, enquanto acompanha mais de 12 mil servidores Zimbra expostos na internet. Os dados disponíveis não esclarecem quantos desses servidores são sistemas-isca ou já foram protegidos.
O que deve ser verificado na prática?
A CISA não publicou detalhes sobre os ataques em andamento, mas o CERT Polska pediu às equipes de segurança que revisem os registros em busca de indicadores, incluindo a reinicialização inesperada do serviço Zimbra ou a criação de arquivos nos últimos 30 dias, nos seguintes caminhos, pelo usuário zimbra:
- /opt/zimbra/jetty/webapps/
- /opt/zimbra/jetty_base/webapps/
- /tmp/
Por que esta notícia é importante?
A importância da vulnerabilidade decorre da combinação de três fatores: não exigir autenticação, permitir a execução de comandos no servidor e já contar com exploração ativa. O risco é mais direto para as organizações que usam o ZCS para e-mail e colaboração e expõem suas interfaces ou componentes à internet, pois o comprometimento de um servidor de e-mail pode dar ao invasor um ponto de acesso a correspondências e dados sensíveis, dependendo do nível de permissões e dos controles ao redor do sistema.
O alerta também se insere em um padrão recorrente de ataques contra o Zimbra. Pesquisadores da Seqrite Labs relataram, em março, a exploração pelo grupo APT28 de uma vulnerabilidade de XSS armazenado contra servidores ZCS do governo ucraniano, enquanto autoridades americanas e britânicas alertaram, em outubro de 2024, sobre ataques do APT29 contra servidores Zimbra por meio de uma falha anteriormente usada para roubar credenciais de e-mail. Uma vulnerabilidade de XSS refletido também já foi usada para roubar mensagens pertencentes a indivíduos e organizações associadas à Organização do Tratado do Atlântico Norte.
A conclusão prática a partir dos dados disponíveis é clara: a versão 10.1.20 ou a correção apropriada deve ser instalada imediatamente, seguida da análise dos registros e arquivos em busca de indicadores de comprometimento. No entanto, a fonte não define o alcance da campanha, a identidade dos invasores nem se a versão corrigida cobre todas as ramificações do ZCS; esses são pontos que exigem acompanhamento por parte do Zimbra e das equipes de resposta a incidentes.