Im Zentrum der aktuellen Warnung steht CVE-2026-73570, eine Schwachstelle in Zimbra Collaboration. Nach Angaben von CERT Polska wird der Fehler bereits aktiv ausgenutzt. Der Hersteller hatte den Patch mit der Veröffentlichung von Version 10.1.20 bereitgestellt, die am 20. Juli angekündigt wurde.
Betroffen ist die Konstellation, in der das optionale Paket „zimbra-snmp“ installiert ist und zugleich SNMP-Benachrichtigungen aktiviert sind. In diesem Fall kann ein Angreifer die Schwachstelle ohne vorherige Anmeldung ausnutzen, um beliebige Betriebssystembefehle als Zimbra-Benutzer auszuführen.
CERT Polska erklärte, in dieser Woche Angriffe beobachtet zu haben. Konkrete Details zur laufenden Ausnutzungskampagne legte die polnische Einrichtung jedoch nicht offen. Immerhin veröffentlichte sie einige Kompromittierungsindikatoren, die bei der Erkennung möglicher Angriffe helfen können.
Wer hinter den Attacken steckt und mit welchem Motiv sie erfolgen, ist laut dem Quelltext derzeit unklar. Zugleich ist die potenzielle Tragweite erheblich: Solche Schwachstellen können Angreifern die vollständige Kontrolle über einen angegriffenen Zimbra-Server verschaffen. Anschließend wären laut Quelltext unter anderem dauerhafter Zugriff, der Zugriff auf E-Mail-Konten, das Abschöpfen von Zugangsdaten und laterale Bewegungen auf weitere Systeme möglich.
Die aktuelle Lücke ist bislang noch nicht im KEV-Katalog der US-Behörde CISA aufgeführt. Dieser Katalog enthält derzeit 18 Schwachstellen in der Zimbra Collaboration Suite, darunter vier, die in diesem Jahr aufgenommen wurden.
Zimbra-Schwachstellen standen bereits mehrfach im Zusammenhang mit gezielten Aktivitäten. Der Quelltext verweist darauf, dass die Ausnutzung solcher Lücken häufig mit staatlich unterstützten Hackern aus Russland und China verbunden war, die militärische und diplomatische Aufklärung ins Visier nahmen. Ebenso wurden opportunistische Cyberkriminelle genannt, die auf finanziellen Gewinn aus waren.
Die aktuelle Beobachtung von CERT Polska ergänzt diese Vorgeschichte um einen weiteren Fall aktiver Ausnutzung kurz nach Bereitstellung eines Patches. Im konkreten Fall bleibt es bei den bekannten Eckdaten: eine schwerwiegende, nicht authentifizierte Befehlsausführung in bestimmten Zimbra-Konfigurationen, eine verfügbare Korrektur in Version 10.1.20 und bestätigte Angriffe, zu denen CERT Polska bislang nur wenige operative Details veröffentlicht hat.