CISAが悪用が確認されたZimbraの脆弱性の修正を各機関に命令

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は金曜日、Zimbra Collaboration Suiteに存在する脆弱性について、各機関に迅速なパッチ適用を命令しました。この脆弱性は、悪意ある攻撃者がユーザーになりすまして不正な操作を行うために悪用しているものです。

CISAはこのZimbraの脆弱性を追加し、CVE-2026-73570として追跡されているこの脆弱性を既知の悪用された脆弱性(KEV)カタログに登録し、各機関に3日間の猶予を与えて修正を求めました。この期限は月曜日に切れています。どれだけの機関がパッチを適用済みかは不明です。

この脆弱性は、Zimbraがユーザーに通知を送信するために実装しているアドオンパッケージに関連するものです。同ソフトウェアはこのパッケージからの信頼できない入力を適切にサニタイズしないため、攻撃者はこれを悪用して悪意あるSMTP(簡易メール転送プロトコル)リクエストを送信し、標的のZimbraプラットフォームへの広範なアクセス権を得ることが可能になります。

Zimbraの開発元であるSynacorは6月26日にこの脆弱性を開示しましたが、修正版のソフトウェアがリリースされたのは7月20日でした。

8月中旬までには、攻撃者がこの脆弱性を悪用していたことが、ポーランド政府による警告で明らかになっています。

オープンソースのインテリジェンスプラットフォームShadowserverによると、米国内の約700組織を含む世界中の数千の組織が、依然として脆弱なバージョンのZimbraソフトウェアを使用しています。Shadowserverによると、米国内の40組織以上がこの脆弱性を通じて侵害されており、世界各国でも同様に数十件の被害が確認されています。

サイバー脅威アクターはこれまでも、Zimbraの脆弱性をハッキングキャンペーンに繰り返し利用してきました。7月には、CISAと米国家安全保障局(NSA)が、ロシアと関連のあるハッカー集団が別のZimbraの脆弱性を利用してウクライナや西側諸国の政府・企業を標的にしていると警告しています。過去のZimbraを狙った攻撃では、ブラジル軍や医療・エネルギー分野の組織も標的となっています。