Im Mittelpunkt der Warnung steht CVE-2026-73570, eine Schwachstelle in Zimbra Collaboration, die als Befehlsinjektion eingestuft wird und Remotecodeausführung ermöglichen kann. Laut Beschreibung in der NIST National Vulnerability Database betrifft das Problem ZCS-Versionen vor 10.1.20, sofern das optionale Paket zimbra-snmp installiert ist und SNMP-Benachrichtigungen aktiviert wurden.

Die technische Ursache liegt nach NIST in einer unzureichenden Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Dadurch kann ein nicht authentifizierter Angreifer speziell gestaltete SMTP-Anfragen an das System senden. Im Erfolgsfall lassen sich beliebige Betriebssystembefehle mit den Rechten des Zimbra-Benutzers ausführen.

Zimbra hat die Lücke bereits im vergangenen Monat mit Version 10.1.20 geschlossen. Dennoch meldete CERT Polska in einem Bulletin von Anfang dieser Woche aktive Ausnutzungsversuche gegen genau diese Schwachstelle. Die Behörde fordert Betreiber dazu auf, die Datei „/var/log/zimbra.log“ auf verdächtige Neustarts von Zimbra-Diensten zu untersuchen. Zusätzlich sollen sie nach Dateien suchen, die innerhalb der vergangenen 30 Tage in den von CERT Polska genannten Verzeichnissen angelegt wurden.

Dass Angreifer Zimbra-Systeme wiederholt ins Visier nehmen, ist nicht neu. Schwachstellen in der Plattform werden dem Quelltext zufolge häufig von Bedrohungsakteuren angegriffen. Erst im vergangenen Monat veröffentlichte die US-Regierung Details zu einer Phishing-Kampagne, die einem mit Russland verbundenen Akteur namens Laundry Bear zugeschrieben wird, auch bekannt als CL-STA-1114, TA488, UNK_PitStop und Void Blizzard.

Diese Kampagne richtete sich seit mindestens Juli 2025 gegen Zimbra-Mailserver westlicher Regierungs- und Wirtschaftsorganisationen. Dabei wurde laut den offengelegten Angaben CVE-2025-66376 ausgenutzt, eine gespeicherte Cross-Site-Scripting-Schwachstelle in Zimbras Classic UI. Ziel war die Auslieferung einer bösartigen JavaScript-Nutzlast namens ZimReaper, mit der E-Mail-Kommunikation und andere sensible Daten abgegriffen werden sollten.