Útočníci zneužívali chybu v Zimbra Collaboration Suite před zveřejněním

Microsoft zachytil zneužívání kritické chyby CVE-2026-73570 v poštovních serverech Zimbra Collaboration Suite ještě před jejím zveřejněním. Ohrožené jsou instalace s volitelným sledováním SNMP a zapnutými oznámeními.

Útočník mohl poslat speciálně upravený e-mail na server dostupný z internetu a spustit na něm příkazy. Nepotřeboval ukradené heslo ani spolupráci zaměstnance. Chyba se netýká všech instalací Zimbra Collaboration Suite. Podmínkou je volitelný balíček SNMP pro sledování serveru a zapnutá oznámení.

Zimbra chybu opravila ve verzi 10.1.20 vydané 20. července 2026. Záznam CVE-2026-73570 byl zveřejněn až 13. srpna. Microsoft mezi 28. červencem a 7. srpnem zaznamenal dva různé nástroje, které hledaly zranitelné servery a pokoušely se na nich spouštět příkazy.

Po získání přístupu útočníci instalovali nástroje pro trvalé vzdálené ovládání a pokoušeli se získat nejvyšší oprávnění. V jednom případě získali přístup k účtu root. Někteří útočníci po instalaci škodlivého kódu obnovili původní oprávnění adresářů, aby své zásahy skryli.

Útočníci také hledali přihlašovací údaje, obsah schránek a další poštovní servery propojené přes SSH. V jednom incidentu zabalili nedávné zálohy schránek a pokusili se je odeslat do Azure Blob Storage pomocí nástroje AzCopy. Microsoft nepotvrdil, zda přenos uspěl. Napadené organizace působily v různých regionech a oborech. Microsoft útoky nepřipsal žádné konkrétní skupině.

Ohrožené instalace ve verzích starších než 10.1.20 zůstávají zranitelné. Pokud aktualizace není možná, lze podle Microsoftu omezit riziko odstraněním balíčku SNMP nebo vypnutím jeho oznámení. Pokusy o zneužití začaly před zveřejněním chyby, proto samotná kontrola verze nemusí odhalit dřívější napadení. Prověřit lze také záznamy o vzdálených přístupech, změny oprávnění a manipulaci se zálohami.