CERT Polska, das polnische Computer Emergency Response Team, meldet die aktive Ausnutzung der kritischen Zimbra-Schwachstelle CVE-2026-73570. Nach Darstellung des Teams wird die Lücke in laufenden Angriffen missbraucht. Wörtlich warnte CERT Polska vor einer „aktiv genutzten Schwachstelle zur Betriebssystem-Befehlsinjektion in der Zimbra Collaboration Suite“.
Zimbra hatte die Lücke mit Version 10.1.20 geschlossen. Der Hersteller beschreibt das Problem als unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Ein nicht authentifizierter Angreifer kann demnach speziell gestaltete SMTP-Anfragen senden, die zur Ausführung beliebiger Betriebssystembefehle mit den Rechten des Nutzers zimbra führen können. Voraussetzung ist, dass SNMP-Benachrichtigungen aktiviert sind.
Zur potenziellen Angriffsfläche verweist der Quelltext auf Daten von Shadowserver. Der Internet-Sicherheitsdienst beobachtet aktuell mehr als 12.100 online erreichbare Zimbra-Server. Die meisten davon stehen demnach in Europa mit 4.382 und in Asien mit 4.492 Systemen. Unklar ist jedoch, wie viele dieser Server lediglich Honeypots sind oder inzwischen bereits gegen CVE-2026-73570 gepatcht wurden.
CERT Polska fordert Administratoren auf, Protokolle auf verdächtige Aktivitäten zu prüfen. Genannt werden dabei insbesondere eigenständige Neustarts des Zimbra-Dienstes. Außerdem sollten Admins nach Dateien suchen, die in den vergangenen 30 Tagen durch den Nutzer zimbra in den Verzeichnissen /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ und /tmp/ angelegt wurden.
Dass Zimbra-Systeme regelmäßig im Fokus von Angreifern stehen, ist laut Quelltext nicht neu. In den vergangenen Jahren seien zahlreiche verwundbare E-Mail-Server über Zimbra-Schwachstellen kompromittiert worden. Als Beispiel wird eine Kampagne von Winter Vivern genannt: Die russische Cyberspionagegruppe nutzte im Februar 2023 eine reflektierte XSS-Schwachstelle aus, um E-Mails von NATO-nahen Personen und Organisationen über Zimbra-Webmail-Portale zu stehlen.
Auch später blieb Zimbra ein Ziel staatlich zugeordneter Akteure. Im Oktober 2024 warnten US-amerikanische und britische Cyberbehörden, dass APT29, auch als Midnight Blizzard und Cozy Bear verfolgt und mit dem russischen Auslandsgeheimdienst in Verbindung gebracht, verwundbare Zimbra-Server ins Visier nahm. Ausgenutzt wurde dabei laut Quelltext eine Sicherheitslücke, die zuvor bereits zum Diebstahl von Zugangsdaten für E-Mail-Konten missbraucht worden war.
Zuletzt berichteten Forscher von Seqrite Labs im März, dass APT28, eine staatlich unterstützte Gruppe mit Bezug zum russischen Militärgeheimdienst, eine gespeicherte XSS-Schwachstelle in Angriffen auf ukrainische Regierungsserver mit ZCS ausnutzte.