企業向けのメール・コラボレーションプラットフォームとして広く利用されているZimbra Collaboration Suiteにおいて、現在も悪用が続いているリモートコード実行の脆弱性について、緊急の注意喚起が発せられています。
この脆弱性はCVE-2026-73570として追跡されており、認証を経ずにOSコマンドインジェクションが可能となる問題です。攻撃者はzimbraユーザーの権限で任意のシェルコマンドを実行できてしまいます。
Zimbra RCEの脆弱性
この不具合は、`snmp_notify`パラメータでSNMPトラップ通知が有効化されており、かつwatchdogサービスが稼働しているZimbraインスタンスに影響します。
watchdogサービスはデフォルトで有効になっているため、外部からアクセス可能な状態にある、あるいは設定に不備があるZimbra環境は、インターネット経由の攻撃キャンペーンの標的となる可能性があります。
CERT Polskaによると、攻撃者は現在この脆弱性を悪用しています。悪用に成功すると、リモートの未認証の攻撃者がzimbraアカウントに割り当てられた権限でZimbra環境内のコマンドを実行できるようになります。
Vulnerabilityscanning tool
ここまでのアクセス権限を得れば、脅威アクターはWebシェルを設置し、永続化を確立し、メールボックス関連のデータにアクセスし、アプリケーションファイルを改変し、さらには侵害したメールサーバー上に追加のペイロードを配置することも可能になります。
Zimbraはこの問題をバージョン10.1.20で修正済みです。管理者は自身のZimbraバージョンを確認したうえで、影響を受けるすべてのインストール環境を、このセキュリティ修正を含むリリースへアップグレードすることを強く推奨します。
悪用が確認されていることを踏まえると、対応を先送りにすれば、便乗的な侵害やその後の攻撃に組織がさらされたままになりかねません。
また、組織はZimbraインフラが既に標的にされていないかどうかを確認するため、脅威ハンティング活動を実施すべきです。
CERT Polskaは、コマンドインジェクションの試みや悪意あるペイロードの実行を示唆する可能性がある不審なサービスステータスメッセージがないか、`/var/log/zimbra.log`を確認するよう推奨しています。
特に注目すべきは、想定外のサービスやペイロードが「stopped」から「running」へ、あるいは「running」から「stopped」へと状態が変化するといったステータス変更の記録です。
管理者は、過去30日間にzimbraユーザーによって作成されたファイルがないか、以下のディレクトリを確認すべきです。
/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/これらの場所には、攻撃者が作成したWebアプリケーション、一時的なスクリプト、投下されたバイナリ、その他悪用に関連する痕跡が含まれている可能性があります。
見覚えのないファイル、最近改変されたアプリケーションのコンポーネント、不審なプロセスの動き、あるいは異常な外向きのネットワーク接続があれば、いずれも侵害の兆候である可能性があるものとして扱うべきです。
直ちにパッチを適用することが運用上困難な場合、防御側はSNMPトラップ機能が本当に必要かどうかを検討し、可能であれば該当の設定を無効化することを検討すべきです。ただし、こうした設定変更は、修正済みのZimbraリリースへのアップグレードの代わりにはなりません。
CVE-2026-73570が実際に悪用されている事実は、インターネットに露出したメールインフラが引き続き標的とされている現状を浮き彫りにしています。Zimbraサーバーには機微な通信内容や認証情報、組織内部のデータが保管されていることが多く、スパイ活動やランサムウェア、金銭目的の脅威アクターにとって格好の標的となっています。
悪用の痕跡を検知した組織は、関連するログや不審なファイルを保全し、必要に応じて影響を受けたシステムを隔離したうえで、漏洩の可能性がある認証情報をローテーションし、直ちにインシデント対応チームを動かすべきです。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCが活用する脅威インテリジェンスで、貴社のTier 1を強化します。 TI Lookupを貴社のSOCに統合する
翻訳元: https://gbhackers.com/zimbra-rce-vulnerability/
