ポーランドのコンピュータ緊急対応チームであるCERT Polskaは、Zimbra Collaboration Suite(ZCS)に存在する深刻な脆弱性の悪用が攻撃者によって開始されたと警告しました。
ZCSは世界中で数億人・数多くの組織に利用されている人気のメールおよびコラボレーションソフトウェアスイートで、数千の企業や数百の政府機関でも使用されています。
Zimbraのセキュリティチームは7月20日、この脆弱性(CVE-2026-73570として追跡)を修正するバージョン10.1.20をリリースしました。この脆弱性は、SNMP通知が有効になっている場合にSNMP監視コンポーネントに存在するコマンドインジェクションの弱点を悪用し、認証されていない攻撃者にリモートコード実行を許してしまうというものです。
Zimbraは、「SNMP通知処理中に信頼できない入力が適切にサニタイズされていないため、認証されていない攻撃者が特別に細工したSMTPリクエストを送信することで、Zimbraユーザーとして任意のオペレーティングシステムコマンドが実行される可能性がある」と説明しています。
インターネットセキュリティ監視団体のShadowserverは現在、インターネット上に公開された12,100台超のZimbraサーバーを確認しており、その大半はヨーロッパ(4,382台)とアジア(4,492台)に所在しています。
ただし、このうちどれだけがハニーポットなのか、あるいはすでにCVE-2026-73570の脆弱性に対するパッチが適用済みなのかについての情報はありません。
実際の攻撃での悪用が確認済みとしてフラグ
月曜日、ポーランドのCERTチームは、脅威アクターがすでにCVE-2026-73570を攻撃に悪用していると報告しました。
CERT Polskaは、「CERT Polskaチームは、Zimbra Collaboration Suiteに存在するOSコマンドインジェクション脆弱性が実際に悪用されていることを報告する」と警告しています。
CERT Polskaはまた、管理者に対し、Zimbraサービスが勝手に再起動するなどの不審な挙動がないかログを確認すること、さらに過去30日間にzimbraユーザーによって/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/の各フォルダにファイルが作成されていないか確認することを求めています。
Zimbraの脆弱性は実際の攻撃で頻繁に標的にされており、近年、数多くの脆弱なメールサーバーへの侵入に利用されてきました。
例えば、ロシアのサイバースパイ集団Winter Vivernは2023年2月、反射型XSSのエクスプロイトを利用してZimbraのウェブメールポータルからNATO関連の個人や組織に属するメールを窃取しました。
2024年10月には、米英のサイバー当局が、APT29(Midnight BlizzardやCozy Bearとしても追跡され、ロシア対外情報庁に関連するとされるハッカー集団)が、以前にもメールアカウントの認証情報を窃取する目的で悪用されたことのあるセキュリティ問題を利用して脆弱なZimbraサーバーを標的にしていると警告しました。
さらに最近では3月、Seqrite Labsの研究者らが、APT28(ロシア軍参謀本部情報総局に関連するとされる国家支援型脅威グループ)がウクライナ政府のZCSサーバーを狙った攻撃において、格納型クロスサイトスクリプティング(XSS)の脆弱性を悪用していたことを明らかにしています。
攻撃者が有効な認証情報を手に入れた場合、その行動のうちブロックされるのはわずか37%
防御全体のスコアだけを見ていると、初期侵入後に何が起きているかが見えなくなってしまいます。攻撃者が有効な認証情報を使い始めると、防御効果は急激に低下します。
The Blue Report 2026は、顧客の実運用環境で実施された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
