Zimbra Collaboration Suiteに存在する重大なOSコマンドインジェクション脆弱性を狙った積極的な悪用が新たに確認されました。この脆弱性により、未認証のリモート攻撃者がzimbraユーザー権限で任意のシェルコマンドを実行できてしまいます。
CVE-2026-73570として追跡されているこの脆弱性は、snmp_notifyパラメータによってSNMPトラップ通知が有効化されており、かつswatchdogサービスが稼働しているZimbraインスタンスに影響します。
swatchdogはデフォルトで有効になっているため、該当するSNMP設定でZimbra環境を運用している組織はリモートからの侵害にさらされる可能性があります。
この脆弱性はZimbra Collaboration Suiteバージョン10.1.20で修正済みです。CERT Polskaは管理者に対し、自環境で稼働しているバージョンを直ちに確認し、影響を受けるすべてのシステムを修正版へアップデートするよう強く呼びかけています。
攻撃者がすでに進行中のキャンペーンでこの脆弱性を悪用していることが確認されており、緊急性は一層高まっています。CVE-2026-73570の悪用に成功するには、攻撃者が有効なZimbraの認証情報を保持している必要はありません。
このため、インターネットからアクセス可能な脆弱なメールサーバーは特に狙われやすい標的となります。攻撃者は、細工したリクエストを一度送信するか、影響を受けるサービス機能を操作するだけで、足がかりを得られる可能性があります。
この脆弱性を通じて実行されるコマンドはzimbraユーザーの権限で動作します。これは本質的にroot権限を与えるものではありませんが、このアカウントは通常、Zimbraのアプリケーションファイル、メール関連サービス、設定データ、Jetty Webアプリケーションディレクトリ、サーバープロセスに幅広くアクセスできます。
攻撃者はこのアクセス権を利用して、Webシェルの設置、アプリケーションリソースの改ざん、メールボックス情報の収集、永続化の仕組みの構築、あるいは権限昇格や横展開の試みを行う可能性があります。
この脆弱性はZimbraのSNMPトラップ通知機能に関連しています。管理者は自環境を確認し、snmp_notifyが有効になっているか、またswatchdogサービスが稼働しているかを把握する必要があります。
両方の条件に該当するシステムは、バージョン10.1.20へアップグレードするか、他の方法で修復されるまでは脆弱な状態にあると見なすべきです。
管理者は/var/log/zimbra.logを確認し、不審なサービスステータスメッセージ、特にService status change: <malicious payload> changed from stopped to runningやService status change: <malicious payload> changed from running to stoppedの形式で記録されたエントリがないかを調べる必要があります。
これらのログメッセージ内に予期しないコマンド文字列、シェルのメタキャラクタ、エンコードされたコンテンツ、ダウンロードユーティリティ、一時的な保存場所への参照などが見つかった場合、悪用の試みを示している可能性があります。
CERT Polskaによると、こうした事象は関連するネットワーク接続、プロセスの実行、ファイルシステムの変更と合わせて調査すべきだとしています。
加えて防御側は、過去30日間にzimbraユーザーによって/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/に作成されたファイルを確認する必要があります。
新たに追加されたJSPファイル、実行可能なスクリプト、アーカイブ、改変されたWebリソース、不審な名前の一時ファイルなどは、侵害の兆候として扱うべきです。
悪用の痕跡を発見した組織は、運用上可能な範囲で影響を受けたサーバーを隔離し、フォレンジック分析のためにログや証跡を保全した上で、Zimbraアカウントがアクセスできる認証情報やシークレットをローテーションし、関連システムに二次的な活動がないか調査する必要があります。
不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストをセキュリティチームに提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/actively-exploited-zimbra-flaw/
