インターネットに公開されたZimbraインスタンスのうち少なくとも274台が、CVE-2026-73570を悪用した攻撃者によって侵害されたことが、Shadowserver Foundationが月曜日に共有した情報で明らかになりました。
CVE-2026-73570について
Zimbra Collaboration Suite(ZCS)は、自社データの管理を重視する組織や、Microsoft 365やGoogle Workspaceといった高額な代替サービスを導入できない組織に人気のコミュニケーション・コラボレーションプラットフォームです。
CVE-2026-73570はコードインジェクションの脆弱性で、Synacorは2026年7月20日に公開したZCS v10.1.20でこの脆弱性を修正しました。
この脆弱性は2026年6月26日に初めて公表されており、修正版がリリースされるまでの間、管理者は一時的な緩和策を講じることができました。
CVE-2026-73570は、(オプションの)zimbra-snmpパッケージがインストールされ、SNMP通知が有効になっているZimbraメールサーバーに影響します。
「SNMP通知処理における信頼できない入力の不適切なサニタイズが原因で、認証されていない攻撃者が特別に細工したSMTPリクエストを送信することで、Zimbraユーザーとして任意のオペレーティングシステムコマンドが実行される可能性があります」と、この脆弱性のCVEエントリーは述べています。
実際の悪用
ポーランドのCERTは1週間前にCVE-2026-73570の実環境での悪用を発見し、侵害を示すログエントリーと作成されたファイルの一覧を公開しました。
これらの情報を基に、ルーティング可能なIPv4アドレス空間の大部分を対象に開放ポートやサービス、TLS証明書データ、脆弱性の兆候などを毎日スキャンしている非営利団体Shadowserver Foundationは、8月20日時点で155台の侵害されたインスタンスを検出し、その後数日間でその数は増え続けました。
同団体はまた、ZCS v10.1.20にまだアップデートされていないインスタンスが少なくとも8200台あると指摘していますが、この脆弱性はデフォルト以外の設定でのみ悪用可能であるため、そのすべてがCVE-2026-73570による攻撃にさらされているわけではない可能性があるとも述べています。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は先週後半、CVE-2026-73570を既知の悪用された脆弱性(KEV)カタログに追加し、米連邦民間機関に対して3日以内の対応と侵害の痕跡確認を命じました。
Zimbraの脆弱性は、国家の支援を受けたハッカー(ゼロデイとして悪用されることが多い)と、日和見的なサイバー犯罪者の両方に狙われる傾向があります。今回の一連の攻撃の背後にいるのが誰なのかは、まだ判明していません。
翻訳元: https://www.helpnetsecurity.com/2026/08/25/zimbra-cve-2026-73570-compromised/
