Zimbra: CVE-2026-73570 in realen Angriffen ausgenutzt – wer jetzt sofort aktualisieren muss

Laufende Angriffe auf Zimbra-Server

Eine Schwachstelle in Zimbra Collaboration mit der Bezeichnung CVE-2026-73570 wird nachweislich gegen exponierte Server ausgenutzt. CERT Polska meldete, in dieser Woche entsprechende Angriffe festgestellt zu haben; die Meldung wurde am 20. August 2026 veröffentlicht.

Die Identität des Angreifers und die Ziele der Kampagne sind nicht bekannt. CERT Polska hat jedoch Indicators of Compromise veröffentlicht. Administratoren sollten diese dem Originalhinweis entnehmen und mit ihren eigenen Systemen abgleichen.

Betroffen ist Zimbra Collaboration, auch bekannt als Zimbra Collaboration Suite (ZCS). Ein nicht authentifizierter Angreifer aus der Ferne kann die Schwachstelle ausnutzen, um beliebige Befehle auf dem Betriebssystem mit den Rechten des Benutzers Zimbra auszuführen.

Die Voraussetzung ist spezifisch: Auf dem Server müssen das optionale Paket zimbra-snmp installiert und SNMP-Benachrichtigungen aktiviert sein. Betroffen sind Versionen vor 10.1.20.

Funktionsweise der Schwachstelle

CVE-2026-73570 ist eine Schwachstelle zur OS Command Injection, klassifiziert als CWE-78. Die Ursache ist eine unzureichende Bereinigung nicht vertrauenswürdiger Daten bei der Verarbeitung von SNMP-Benachrichtigungen.

Der Angriffsvektor nutzt speziell präparierte SMTP-Anfragen. Es sind keine Zugangsdaten erforderlich, und es ist keine Benutzerinteraktion notwendig. Die Angriffskomplexität gilt als hoch, die möglichen Auswirkungen sind jedoch erheblich: Die Ausführung erfolgt unter der Identität des Benutzers Zimbra und kann über die direkt betroffene Komponente hinausreichen.

Die CVSS-3.1-Bewertung beträgt 8,9 und ist damit hoch, mit folgendem Vektor:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Die Bewertung stammt von der CNA MITRE. NVD hat noch keine eigene Bewertung veröffentlicht; für CVSS 4.0, 3.x und 2.0 ist der NIST-Score als N/A angegeben.

Die Kombination aus Remote-Zugriff, fehlender Authentifizierung und den hohen Auswirkungen auf Vertraulichkeit und Integrität macht die Schwachstelle besonders kritisch für Installationen, die Zimbra als zentrale E-Mail-Plattform einsetzen.

Mögliche Folgen eines kompromittierten Servers

Die Ausführung von Befehlen mit den Rechten des Benutzers Zimbra bedeutet nicht automatisch die vollständige Kontrolle über das Betriebssystem, verschafft dem Angreifer jedoch eine wichtige operative Ausgangsbasis.

Nach dem ersten Zugriff könnte der Angreifer versuchen:

• Persistenz auf dem Server einzurichten;
• auf Postfächer und Nachrichten zuzugreifen;
• Zugangsdaten und Tokens abzugreifen;
• E-Mail-Konfigurationen oder -Regeln zu verändern;
• das System für den Zugriff auf weitere interne Ressourcen zu nutzen;
• Daten oder Informationen aus der Infrastruktur zu exfiltrieren.

Besonders gefährdet sind Organisationen, die geschäftliche, behördliche oder administrative E-Mails auf Zimbra-Servern verwalten, die direkt aus dem Netzwerk erreichbar sind. Ein kompromittierter Mailserver kann zudem als vertrauenswürdige Quelle für interne Phishing-Kampagnen, den Missbrauch legitimer Konten und den Diebstahl von Korrespondenz dienen.

Für die aktuelle Kampagne wurde keine Zuordnung zu einem bestimmten Akteur veröffentlicht. Bei früheren Angriffen auf Zimbra-Schwachstellen waren sowohl staatlich unterstützte Gruppen beteiligt, die sich für militärische und diplomatische Informationen interessierten, als auch opportunistische Cyberkriminelle mit finanziellen Motiven. Daraus lässt sich CVE-2026-73570 jedoch keinem bestimmten Angreifer zuordnen.

Patch und erforderliche Prüfungen

Die Fehlerbehebung ist in Zimbra Collaboration 10.1.20 enthalten, die am 20. Juli veröffentlicht wurde. Administratoren sollten auf Version 10.1.20 oder höher aktualisieren und dabei die vom Anbieter unterstützten Verfahren verwenden.

Zunächst sollte geprüft werden, ob das optionale Paket vorhanden ist:

zimbra-snmp

Außerdem ist der Status der SNMP-Benachrichtigungen zu überprüfen. Installationen, die diese Funktion nicht benötigen, sollten deren Deaktivierung oder die Entfernung des Pakets prüfen – stets über die von Zimbra vorgesehenen Verfahren. Diese Maßnahme reduziert die Angriffsfläche, ersetzt jedoch nicht das Update.

Nach der Installation des Patches sollten folgende Bereiche untersucht werden:

• SMTP-Logs auf ungewöhnliche oder speziell präparierte Anfragen;
• unerwartete Prozesse, die unter dem Benutzer zimbra ausgeführt wurden;
• kürzlich vorgenommene Änderungen an Skripten, Konfigurationen und geplanten Aufgaben;
• ungewöhnliche Zugriffe auf Postfächer;
• neue Konten, Weiterleitungsregeln oder Persistenzmechanismen;
• Verbindungen zu bislang unüblichen internen Systemen.

Die von CERT Polska veröffentlichten Indicators of Compromise können bei der Suche helfen. Sie sollten jedoch dem offiziellen Hinweis entnommen werden, da sie hier nicht aufgeführt sind.

Bei Verdacht auf eine Kompromittierung sollte der Server isoliert werden, ohne Spuren zu löschen. Logs und Artefakte müssen gesichert, möglicherweise offengelegte Zugangsdaten geändert, E-Mail-Konten überprüft und mögliche laterale Bewegungen im Netzwerk untersucht werden.

CVE-2026-73570 ist noch nicht im CISA-KEV-Katalog enthalten

Zum Zeitpunkt der Darstellung durch die CISA-Quelle ist CVE-2026-73570 noch nicht im Katalog Known Exploited Vulnerabilities (KEV) enthalten. Daher gibt es für diese Schwachstelle weder ein Aufnahmedatum noch eine spezifische CISA-Frist für die Behebung.

Das Fehlen im Katalog mindert die Dringlichkeit jedoch nicht: CERT Polska hat bereits eine Ausnutzung in realen Umgebungen gemeldet. KEV ist ein Priorisierungsinstrument und keine vollständige Liste aller beobachteten Angriffe.

Für Zimbra sind insgesamt 18 Schwachstellen im CISA-KEV-Katalog verzeichnet. Zu den jüngeren Fällen gehören CVE-2025-48700, aufgenommen am 20. April 2026 mit einer Frist bis zum 23. April 2026, sowie CVE-2025-66376, aufgenommen am 18. März 2026 mit einer Frist bis zum 1. April 2026.

CISA nahm außerdem CVE-2020-7796 am 17. Februar 2026 mit einer Frist bis zum 10. März 2026 und CVE-2025-68645 am 22. Januar 2026 mit einer Frist bis zum 12. Februar 2026 auf. Für diese Schwachstellen lautet die operative Empfehlung, die Abhilfemaßnahmen des Anbieters umzusetzen, geltende Vorgaben für Cloud-Dienste zu befolgen oder das Produkt nicht weiter zu verwenden, falls keine Gegenmaßnahmen verfügbar sind.

Das Gesamtbild zeigt, dass CVE-2026-73570 kein Einzelfall im Zimbra-Ökosystem ist. Administratoren sollten daher unverzüglich die Erreichbarkeit, das Paket zimbra-snmp, die SNMP-Benachrichtigungen und die installierte Version prüfen, ohne auf eine mögliche Aufnahme in den KEV-Katalog zu warten.