Zimbraコラボレーションスイートの脆弱性、任意コマンド実行を狙う攻撃で悪用進行中

脅威アクターがZimbra Collaboration Suiteに存在する重大なOSコマンドインジェクションの脆弱性を実際に悪用しています。この脆弱性はCVE-2026-73570として識別されています。

Hacking& Cracking

この脆弱性により、未認証の攻撃者がzimbraユーザーの権限で任意のOSコマンドを実行できてしまいます。

Zimbra Collaboration Suiteの脆弱性

この不具合は特に、`snmp_notify`パラメータでSNMPトラップ通知サービスが有効化されており、なおかつswatchdogサービスが稼働しているZimbra環境に影響します。swatchdogはデフォルトで有効になっているため、対象組織は気づかないうちに悪用可能な攻撃経路を抱えている可能性があります。

CERT Polskaの指摘によると、この脆弱性はすでに実際の攻撃キャンペーンで観測されており、脆弱なZimbraサーバーを利用している組織は直ちにパッチを適用し、侵害の有無を確認する必要があります。

CVE-2026-73570の悪用に成功すると、リモートの攻撃者はサーバー上でシェルコマンドを注入・実行できるようになります。

これらのコマンドはroot権限ではなくzimbraアカウントの権限で実行されますが、それでも攻撃者はメール関連データの取得、Webアプリケーションファイルの改ざん、永続化メカニズムの展開、あるいはさらなる侵入のための足がかりの構築などを行える可能性があります。

Zimbraサーバーはインターネットに公開されていることが多く、通常は機密性の高い通信内容、認証情報、添付ファイル、組織の連絡先データなどを保持しています。

そのため、この脆弱性が悪用されれば、メールボックスの侵害やデータ窃取、信頼されたインフラを踏み台にしたフィッシング攻撃、Webシェルやマルウェアの展開といった深刻な事態につながりかねません。

この脆弱性はZimbra Collaboration Suiteのバージョン10.1.20で修正済みです。CERT Polskaは管理者に対し、自身が導入しているバージョンを確認し、該当のセキュリティ修正を含むリリースへ直ちにアップグレードするよう強く呼びかけています。

インシデント対応の一環として、CERT Polskaは組織に対し、`/var/log/zimbra.log`内で不審なサービスステータスの変化がないか調査するよう推奨しています。該当するログエントリは以下のような形式になる場合があります。

`<malicious payload>`の部分には、攻撃者が制御するコマンド内容が含まれている可能性があります。管理者は、見慣れないサービス名、シェル構文、エンコードされた文字列、リダイレクト、ダウンロードコマンド、一時ディレクトリへの参照などを、侵害の兆候として注視すべきです。

セキュリティチームはまた、過去30日間にzimbraユーザーによって作成されたファイルを、特に以下のディレクトリを中心に確認する必要があります。

`/opt/zimbra/jetty/webapps/`
`/opt/zimbra/jetty_base/webapps/`
`/tmp/`

予期しないJSPファイル、実行可能なスクリプト、改変されたアプリケーションコンテンツ、最近作成されたアーカイブ、難読化された名前のファイルなどが見つかった場合は、直ちに調査が必要です。

推奨される対応

Zimbra Collaboration Suiteを利用している組織は、以下の対策を講じる必要があります。

• Zimbraバージョン10.1.20以降の修正版へ速やかにアップグレード。
• snmp_notifyが有効になっているかを確認し、SNMPトラップ機能が本当に必要かどうかを見極める。
• zimbra.logを確認し、異常なサービスステータスイベントやコマンドインジェクションの痕跡がないか調べる。
• Jettyのwebアプリケーションディレクトリや一時ディレクトリ内で、zimbraアカウントが所有する最近作成・変更されたファイルを調査する。
• 侵害の可能性があるシステムを隔離し、ログとフォレンジック証拠を保全した上で、関連する認証情報をローテーションし、外部への通信活動を調査する。

CERT Polskaは、悪用の兆候を検知した組織に対し、直ちに同機関のインシデント対応チームへ連絡するよう求めています。

調査の遅れによるインシデントを防ぎましょう。15,000のSOCからの脅威インテリジェンスでTier 1を強化: SOCにTI Lookupを統合する