Die Angriffswelle gegen die Zimbra Collaboration Suite weitet sich aus. Shadowserver meldete am Montag, dass bei Scans nach Ausnutzungsspuren am 22. August 2026 insgesamt 274 kompromittierte Instanzen gefunden wurden: „Die mit der Ausnutzung von CVE-2026-73570 verbundenen Zimbra-Kompromittierungen breiten sich aus." Zusätzlich sehe man mindestens 8.200 ungepatchte Systeme — was laut Shadowserver nicht bedeutet, dass alle angreifbar sind, da die Schwachstelle in einer Konfiguration steckt, die nicht der Standardeinstellung entspricht.
Technisch handelt es sich um eine Befehlsinjektion in der SNMP-Überwachungskomponente. Sind SNMP-Benachrichtigungen aktiviert, können Angreifer ohne vorherige Anmeldung aus der Ferne Code auf dem Server ausführen. Synacor stellte den Patch mit ZCS 10.1.20 am 20. Juli bereit.
Den ersten Hinweis auf gezielte Angriffe lieferte CERT Polska, das polnische Computer Emergency Response Team. Es riet Sicherheitsteams, ihre Protokolle auf verdächtige Aktivitäten zu prüfen — insbesondere auf unerwartete Neustarts des Zimbra-Dienstes sowie auf Dateien, die der Benutzer zimbra innerhalb der vergangenen 30 Tage in den Verzeichnissen /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ und /tmp/ angelegt hat.
Nach der Warnung aus Polen nahm die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Den zivilen US-Bundesbehörden (Federal Civilian Executive Branch) gab die Behörde nur drei Tage Zeit, ihre Systeme abzusichern — Stichtag war der 24. August.
Zimbra-Server stehen seit Jahren im Fokus von Angreifern, die es auf E-Mails mit sensiblen Inhalten abgesehen haben. Im März beobachteten Forscher von Seqrite Labs, wie die dem russischen Militärnachrichtendienst zugerechnete Gruppe APT28 eine gespeicherte Cross-Site-Scripting-Schwachstelle in Zimbra ausnutzte, um in Server der ukrainischen Regierung einzudringen.
Bereits im Oktober 2024 hatten US-amerikanische und britische Cyberbehörden davor gewarnt, dass Hacker des russischen Auslandsgeheimdienstes — geführt unter den Namen APT29, Midnight Blizzard und Cozy Bear — Zimbra-Server über eine ZCS-Schwachstelle kompromittierten, die zuvor zum Diebstahl von Zugangsdaten für E-Mail-Konten missbraucht worden war. Die russische Spionagegruppe Winter Vivern wiederum nutzte eine reflektierte Cross-Site-Scripting-Lücke, um bei Angriffen auf Zimbra-Webmail-Portale E-Mails aus Konten von NATO-nahen Stellen abzugreifen.