Zimbraサーバー274台が侵害、未パッチのサーバーは8,200台に

攻撃者は少なくとも274台のZimbraサーバーを侵害しており、パッチが未適用の数千台のシステムも引き続き危険にさらされている可能性があります。

Shadowserver Foundationによると、CVE-2026-73570を悪用した攻撃により、インターネットに公開されたZimbraインスタンスのうち8月22日時点で274台の侵害を確認したとのことです。これは2日前の155台から増加しています。同非営利団体はまた、少なくとも8,200台の未パッチのZimbraシステムも発見していますが、この脆弱性の悪用には特定の非デフォルト設定が必要なため、これらすべてが脆弱であるとは限らないとしています。

「CVE-2026-73570の悪用に関連するZimbraの侵害は拡大しています。2026-08-22に実施した悪用の痕跡に関するスキャンでは、274件のインスタンスの侵害を確認しました」とShadowserverは述べています。

この攻撃を最初に報告したのはポーランドのCERT Polskaで、8月中旬のことでした。同組織は管理者に対し、Zimbraサービスの予期しない再起動や、Zimbraのウェブアプリケーションおよび一時ディレクトリ内にZimbraユーザーによって作成された不審なファイルなどの兆候に注意するよう警告しています。

脆弱性の仕組み

CVE-2026-73570は、Zimbra Collaboration SuiteのSNMP監視コンポーネントに存在するコマンドインジェクションの脆弱性です。オプションのzimbra-snmpパッケージがインストールされ、SNMP通知が有効になっている場合、未認証の攻撃者がZimbraユーザーの権限でオペレーティングシステムのコマンドをリモートから実行できる可能性があります。攻撃者は特別に細工したSMTPリクエストを通じてこの脆弱性を引き起こすことができます。

Synacorは6月26日にこの脆弱性を公表し、7月20日にリリースしたZCS 10.1.20で修正を提供しました。その後CISAはこの脆弱性を既知の悪用された脆弱性（KEV）カタログに追加し、米連邦文民機関に対して8月24日までにベンダーの緩和策を適用するか、影響を受ける製品の使用を停止するよう義務付けました。

より大きなリスクはメールサーバーに潜む

侵害されたZimbraサーバーは、組織のコミュニケーションの中心に位置しているため、単なる脆弱なアプリケーションよりも深刻な問題を引き起こします。

サーバー上でコマンドを実行できる攻撃者は、メールプラットフォームが扱う情報や機能にアクセスできる可能性があります。ただし、侵害された274台のシステムから実際にデータが窃取されたかどうかは情報筋によっても確認されておらず、この一連の攻撃について犯行声明を出した脅威アクターも今のところ存在しません。

こうした不透明さがあるからこそ、侵害の有無を確認する作業はパッチの適用と同じくらい重要になります。すでに侵害されたサーバーをアップデートしても、それだけでは攻撃者のアクセス権が失われたり、侵入中に加えられた変更が元に戻ったりすることはありません。

組織が今すぐ対応すべき理由

Zimbraはこれまでも、APT28、APT29、Winter Vivernによる攻撃をはじめ、サイバー犯罪者と国家に関連するグループの双方から繰り返し標的にされてきました。

Zimbraを運用している組織は、インターネットに公開されているすべての導入環境を洗い出し、該当するソフトウェアブランチ向けにベンダーが提供する修正版を適用し、オプションのSNMPコンポーネントおよび通知が有効になっていないか確認したうえで、CERT Polskaが公開している侵害の痕跡を調査する必要があります。パッチ適用だけでは持続的なアクセス（パーシステンス）を排除したり、侵入中に加えられた変更を元に戻したりすることはできないため、不審な痕跡を発見した管理者は、そのサーバーが侵害されている可能性があるものとみなし、インシデント対応の手続きを開始すべきです。

関連記事: ロシアに関連するハッカーも、別のZimbraの脆弱性を悪用して政府機関のメールサーバーを標的にしていました。このことは、高度な脅威グループにとってこのプラットフォームが依然として魅力的な標的であり続けていることを示しています。