連邦機関は、未認証のリモートコード実行を許してしまうZimbra統合コミュニケーションスイートの脆弱性について、月曜終業時までにパッチを適用するよう義務付けられました。この措置は、CISAがこの脆弱性を追加したことを受けたもので、金曜日に既知の悪用された脆弱性(KEV)カタログへ登録された後、実際の悪用報告が相次いだことが背景にあります。
この脆弱性は CVE-2026-73570として追跡されており、SNMP通知機能を有効にしているZimbra Collaboration Suiteサーバー上で、攻撃者が任意のコマンドを実行できてしまうというものです。この設定は脆弱なバージョンではデフォルトで有効になっています。
脆弱性の開示文書には、「SNMP通知処理における信頼できない入力の不適切なサニタイズが原因で、未認証の攻撃者が特別に細工されたSMTPリクエストを送信することで、Zimbraユーザー権限で任意のOSコマンドが実行される可能性があります」と記されています。
政府機関や企業の環境において、攻撃者はZimbraサーバーを侵害することで、その組織の内部運用について多くを推測できるようになると、Merlin Groupの最高デジタル情報責任者を務めるRobert Costello氏は説明します。Zimbra環境の侵害によってネットワーク図そのものが得られるわけではないものの、メッセージやカレンダー、連絡先、添付ファイルといった貴重な情報を攻撃者にもたらす可能性があります。これらの情報からは、組織の管理者、利用している技術ベンダー、内部の命名規則、メンテナンススケジュール、セキュリティ運用プロセスなどが明らかになりかねません。Costello氏はDark Readingに対し、こうした情報は攻撃者が組織の運用実態を把握し、後続の攻撃を計画・実行する手助けになると語っています。
サイバー攻撃者による悪用までの期間が短縮
今回の脆弱性は、新たに開示された脆弱性への対応猶予が縮小し続けている実態を示す最新の事例です。セキュリティチームがリスクを評価し、修正を検証し、攻撃者に先んじてパッチを展開するための時間はますます少なくなっています。
Zimbraは6月26日にCVE-2026-73570を開示し、7月20日にZimbra Collaboration Suite(ZCS)のパッチ適用版(v10.1.20)をリリースしました。当時、同社はこの更新版について、CVE-2026-73750を含む複数の重大な脆弱性への修正が施されていると説明し、影響を受ける組織に対して速やかな移行を呼びかけていました。
それから1カ月も経たない8月16日、ポーランドの国家サイバー緊急対応チーム(CERT Polska)は、このZimbraの脆弱性を狙った進行中のキャンペーンについて警告を発し、悪用の兆候を発見した組織には同機関への連絡を求めました。その4日後となる8月21日金曜日、CISAはCVE-2026-73570をKEVカタログに追加し、連邦文民行政機関に対して8月24日終業までに自組織の環境における脆弱性を緩和するか、対応が完了するまで当該技術の使用を停止するよう求めました。
CISAは6月、AIを活用した悪用コード開発や攻撃活動への懸念の高まりを理由に、重大な脆弱性に対して3日間のパッチ適用期限を設ける方針へ移行していました。同機関の拘束的運用指令(BOD)26-04では階層的な修正対応モデルが定められており、優先度の低い脆弱性については各機関が修正時期を後回しにすることも認められています。
優先度の高い脆弱性への重点対応
「CISAによる3日間という命令は、2つの事実を反映したものです」と、Sectigoのシニアフェローを務めるJason Soroko氏は述べています。「悪用は既に確認されており、Zimbraのオプション機能であるSNMPパッケージと通知が有効になっている場合、認証情報なしでもSMTP経由で脆弱な経路に到達できてしまいます」
パッチ適用は侵入口を塞ぐ助けにはなるものの、更新前に既に仕込まれたマルウェアや永続化の仕組みを取り除くものではないと同氏は注意を促します。「運用担当者は、脆弱性が露出したサーバーを単なる定型的なパッチ適用対象としてではなく、インシデント対応事案として扱い、CERT Polskaが特定したログやファイルの場所を確認すべきです」
今回のZimbraの脆弱性は、近年組織が緊急対応を迫られてきた数々の事例の一つに過ぎません。7月には、FBIと国際的な法執行機関が、ロシアの高度persistent脅威(APT)グループ「Laundry Bear」が、Zimbra Classic UIに存在する格納型クロスサイトスクリプティング(XSS)の脆弱性CVE-2025-66376を悪用し、少なくとも1年にわたって継続していたキャンペーンを展開していたと警告しました。昨年には、StrikeReady Labsの研究者らが、リビア海軍儀典局を装った脅威アクターが、Zimbraのゼロデイ脆弱性を通じてブラジル軍を標的にしていたのを確認したと報告しています。
セキュリティパッチ適用をインシデント対応として扱うべき時期に来ているのか
より広い視点で見ると、脆弱性の開示から悪用までの間隔が縮まり続けているという事実は、組織がもはや以前のような数日から数週間かかるパッチ適用サイクルに頼っていられないことを意味します。Black Hills Information Securityのオーナーを務めるJohn Strand氏によれば、AIによって攻撃者が脆弱性の開示情報やパッチの変更点を分析し、何が修正されたのかを特定した上で、迅速に実際に機能する悪用コードを開発することが格段に容易になっているといいます。
「組織はパッチに対して迅速に対応できる体制を整えておく必要があります」とStrand氏は述べています。「パッチが今日届き、機能する悪用コードが3日以内に登場するという状況では、もはやすべてを月1回のパッチ適用サイクルに押し込めることはできません」
Strand氏は、3日間という期限が設定されているようなパッチ適用要件については、単なるパッチ適用としてではなく、むしろインシデント対応として扱い始めるべき時期に来ているのかもしれないと述べています。
「私たちはもはや、組織が従来望んできたようにパッチを十分に検証・テストするまでじっくり待っている時間的余裕がないのかもしれません」と同氏は語ります。「それは間違いなく業務運用に影響を及ぼすでしょう。間違いなく問題も生じるでしょう。しかし、それが私たちが今置かれている状況なのです」
翻訳元: https://www.darkreading.com/vulnerabilities-threats/zimbra-flaw-exploitation-shrinking-window-patch
