米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、米連邦政府機関に対し、Zimbra Collaboration Suite(ZCS)において実際に悪用が確認されている脆弱性を3日以内に修正するよう命じました。
Zimbraセキュリティチームは、この脆弱性(CVE-2026-73570として追跡)を、7月20日にリリースされたバージョン10.1.20で修正済みです。
この脆弱性が悪用されると、対象システムでSNMP通知が有効になっている場合、SNMP監視コンポーネントに存在するコマンドインジェクションの弱点を突かれ、未認証の攻撃者にリモートコード実行を許してしまいます。
「SNMP通知処理中における信頼できない入力の不適切なサニタイズが原因で、未認証の攻撃者は特別に細工されたSMTPリクエストを送信することで、Zimbraユーザーとして任意のOSコマンドを実行できる可能性があります」と説明されています。
CISAが今回警告を発したのは、ポーランドのコンピュータ緊急対応チームであるCERT Polskaが先週月曜日、この脆弱性が実際の攻撃で標的にされていると最初に指摘したことを受けたものです。
脅威監視団体Shadowserverは、インターネット上に公開されている12,000台以上のZimbraサーバーを追跡していますが、そのうちどれだけがハニーポットなのか、あるいはすでにCVE-2026-73570を悪用する攻撃への対策が施されているのかについては情報がありません。
金曜日、CISAはCERT Polskaの警告を裏付ける形で、この脆弱性をKEVカタログに追加したと発表し、米連邦文民行政府機関(FCEB)に対して8月24日までの3日以内にシステムを保護するよう命じました。
CISAはこの進行中の攻撃について詳細を明らかにしていませんが、ポーランドのCERTチームは、セキュリティチームに対し、Zimbraサービスが予期せず再起動するといった不審な挙動がないかログを確認すること、また過去30日間に/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/の各フォルダにzimbraユーザーによって作成されたファイルがないか確認するよう呼びかけています。
ZCSは、世界中の数億に及ぶ組織や個人に利用されている人気の高いメール・コラボレーションスイートで、その中には数百の政府機関や数千の企業も含まれています。
Zimbraのセキュリティ問題は実際の攻撃で頻繁に標的とされており、近年では脆弱なメールサーバーから機密データを窃取する目的で悪用されてきました。
直近では、Seqrite Labsの研究者が3月、ロシア軍参謀本部情報総局と関係のある国家支援型脅威グループAPT28が、ウクライナ政府のZCSサーバーを狙った攻撃において、格納型クロスサイトスクリプティング(XSS)の脆弱性を悪用していたことを明らかにしました。
2024年10月には、米国および英国のサイバー機関が、ロシア対外情報庁(SVR)と関連のあるAPT29(Midnight BlizzardまたはCozy Bearとして追跡)のハッカーが、メールアカウントの認証情報を窃取するために過去に悪用された脆弱性を用いてZimbraサーバーを標的にしていると警告しました。
ロシアのサイバースパイグループWinter Vivernも、反射型クロスサイトスクリプティング(XSS)の脆弱性を悪用し、Zimbraのウェブメールポータルを通じてNATO関連の個人や組織に属するメールを窃取していました。