Zimbra veröffentlichte die Schwachstelle CVE-2026-73570 am 26. Juni und lieferte am 20. Juli die Version 10.1.20 der Zimbra Collaboration Suite aus. Das Unternehmen beschrieb das Update damals als Sammelkorrektur mehrerer kritischer Schwachstellen, darunter CVE-2026-73750, und forderte betroffene Organisationen auf, so schnell wie möglich auf die neue Version zu wechseln.
Am 16. August warnte das polnische nationale Computer Emergency Response Team CERT Polska vor einer laufenden Kampagne gegen die Zimbra-Lücke und bat Organisationen, sich bei Anzeichen von Ausnutzungsaktivität an die Behörde zu wenden. Vier Tage später nahm CISA die Schwachstelle in den KEV-Katalog auf und verpflichtete die zivilen US-Bundesbehörden, den Fehler bis zum Ende des 24. August zu beheben oder die betroffene Technik bis dahin außer Betrieb zu nehmen.
Die kurze Frist geht auf eine Umstellung im Juni zurück: CISA führte mit der Binding Operational Directive 26-04 ein gestuftes Modell zur Fehlerbehebung ein, das für kritische Schwachstellen drei Tage vorsieht und weniger kritische Lücken zurückstellen lässt. Als Begründung nannte die Behörde wachsende Sorge vor KI-gestützter Exploit-Entwicklung und Angriffsaktivität.
“CISAs Drei-Tage-Anordnung spiegelt zwei Tatsachen wider”, sagt Jason Soroko, Senior Fellow bei Sectigo: “Die Ausnutzung ist bestätigt, und der verwundbare Pfad lässt sich ohne Zugangsdaten über SMTP erreichen, wenn Zimbras optionales SNMP-Paket und die Benachrichtigungen aktiviert sind.” Ein Patch schließe zwar den ursprünglichen Einstiegspunkt, entferne aber weder Schadsoftware noch Persistenz, die vor dem Update installiert wurde. Betreiber sollten einen exponierten verwundbaren Server als Fall für die Incident Response behandeln, nicht als Routine-Patch, und die von CERT Polska benannten Protokolle und Dateipfade prüfen.
Welchen Wert ein kompromittierter Zimbra-Server für Angreifer hat, erläutert Robert Costello, Chief Digital and Information Officer bei Merlin Group, gegenüber Dark Reading: Auch ohne Netzwerkdiagramm liefern Nachrichten, Kalender, Kontakte und Anhänge Erkenntnisse über Administratoren, Technologielieferanten, interne Namenskonventionen, Wartungsfenster und Sicherheitsprozesse. Diese Informationen helfen Angreifern, die Arbeitsweise einer Organisation zu kartieren und Folgeangriffe vorzubereiten.
Zimbra stand in den vergangenen Jahren wiederholt im Fokus. Im Juli warnten das FBI und internationale Strafverfolgungsbehörden vor der russischen APT-Gruppe “Laundry Bear”, die CVE-2025-66376 ausnutzte – eine gespeicherte Cross-Site-Scripting-Schwachstelle in Zimbras Classic UI – in einer Kampagne, die zu diesem Zeitpunkt mindestens ein Jahr lief. Im Vorjahr berichteten Forscher von StrikeReady Labs über einen Angreifer, der sich als Protokollbüro der libyschen Marine ausgab und das brasilianische Militär über eine Zimbra-Zero-Day-Lücke angriff.
John Strand, Inhaber von Black Hills Information Security, sieht KI als Beschleuniger: Angreifer könnten Schwachstellenmeldungen und Patch-Änderungen leichter analysieren, erkennen, was behoben wurde, und rasch funktionierende Exploits bauen. “Organisationen müssen in der Lage sein, schnell auf Patches zu reagieren”, sagt Strand. “Wir können nicht mehr alles in einen monatlichen Patch-Zyklus schieben, weil der Patch heute kommen kann und der funktionierende Exploit in weniger als drei Tagen folgt.” Manche Patch-Vorgaben – etwa jene mit Drei-Tage-Frist – müsse man eher wie Incident Response behandeln: “Wir haben womöglich schlicht nicht die Zeit, Patches so gründlich validieren und testen zu lassen, wie Organisationen es traditionell gern hätten. Das wird sich definitiv auf den Betrieb auswirken. Das wird definitiv Probleme schaffen. Aber das ist das Paradigma, in dem wir gerade stecken.”