CVE-2026-73570 uderza w Zimbrę. Trwa łatanie

Zimbra pod presją aktywnej eksploitacji

Administracje korzystające z Zimbra Collaboration Suite znalazły się pod silną presją po ujawnieniu i aktywnym wykorzystywaniu luki CVE-2026-73570. Problem dotyczy serwerów, na których zainstalowano opcjonalny komponent zimbra-snmp oraz włączono notyfikacje SNMP. W takim układzie atakujący może doprowadzić do zdalnego wykonania poleceń bez uwierzytelnienia.

To szczególnie groźne, bo chodzi o system pocztowy wystawiony zwykle na Internet i przetwarzający wiadomości z zewnątrz. W praktyce oznacza to, że jeden błąd w dodatkowym module może otworzyć drogę do przejęcia serwera.

Jak działa problem

Podatność nie obejmuje każdej instalacji Zimbry. Żeby doszło do skutecznej eksploatacji, muszą być spełnione trzy warunki:

• zainstalowany pakiet zimbra-snmp,
• aktywne notyfikacje SNMP,
• uruchomiony proces swatchdog, który obsługuje te zdarzenia.

Atak polega na wysłaniu odpowiednio spreparowanych żądań SMTP lub SNMP, które prowadzą do injectioni poleceń na poziomie systemu operacyjnego. Skutkiem może być uruchamianie komend z uprawnieniami użytkownika zimbra.

Setki serwerów już skompromitowane

Według danych z monitoringu Internetu liczba ujawnionych kompromitacji rosła bardzo szybko. Najpierw mówiono o 155 przejętych instancjach, a dwa dni później już o 274 serwerach Zimbra z oznakami włamania. Najwięcej przypadków odnotowano w Stanach Zjednoczonych, a w Francji wskazano 21 serwerów z widocznymi śladami naruszenia.

Jednocześnie wciąż znajdowało się ponad 8000 instancji działających na podatnych wersjach, co oznaczało szeroką pulę potencjalnych celów.

Łatka już jest, ale to nie wystarczy

Zimbra usunęła lukę w wersji 10.1.20, opublikowanej 20 lipca 2026 r. Wcześniej, 26 czerwca, pojawiło się jeszcze tymczasowe obejście, ale finalny patch trafił dopiero do tej wersji.

Później do sprawy wkroczyły kolejne instytucje bezpieczeństwa. CISA wpisała CVE-2026-73570 do katalogu Known Exploited Vulnerabilities (KEV), co oznacza, że exploitowanie luki zostało potwierdzone w praktyce. Dla amerykańskich cywilnych jednostek federalnych wyznaczono bardzo krótki termin wdrożenia mitigacji.

Na co patrzeć po aktualizacji

Samo zainstalowanie poprawki nie zamyka tematu, jeśli atakujący zdążył już wejść do środka. W takiej sytuacji warto sprawdzić:

• logi Zimbry, zwłaszcza wpisy o zmianie stanu usług typu Service status change,
• nietypową aktywność użytkownika zimbra,
• świeżo utworzone pliki w katalogach:
  • /opt/zimbra/jetty/webapps/
  • /opt/zimbra/jetty_base/webapps/
  • /tmp/

W praktyce należy potwierdzić, czy na serwerze rzeczywiście działał komponent zimbra-snmp, a następnie wdrożyć wersję 10.1.20 lub nowszą. Po aktualizacji warto kontrolnie uruchomić usługę, sprawdzić stabilność działania i zweryfikować, czy numer wersji faktycznie się zmienił.

Jeśli pojawiają się oznaki włamania, kolejnym krokiem powinno być sprawdzenie trwałości dostępu, analiza połączeń wychodzących i rozważenie rotacji powiązanych poświadczeń.

Najważniejszy wniosek

W przypadku tej luki problem nie kończy się na samym patchu. CVE-2026-73570 pokazuje, że w systemach pocztowych nawet opcjonalny moduł może stać się punktem wejścia do pełnego przejęcia serwera. Dlatego liczy się nie tylko szybka aktualizacja, ale też szybkie sprawdzenie, czy atakujący nie zdążył wykorzystać błędu wcześniej.