Zimbra: SNMP-Schwachstelle ermöglicht unauthentifizierte Befehlsausführung aus der Ferne

CERT Polska meldet laufende Angriffe auf ZCS

CERT Polska hat die aktive Ausnutzung von CVE-2026-73570 gemeldet, einer Command-Injection-Schwachstelle in der Zimbra Collaboration Suite (ZCS). Die Schwachstelle kann es einem entfernten Angreifer ermöglichen, ohne Authentifizierung Befehle auf dem System auszuführen.

Betroffen sind ZCS-Installationen vor Version 10.1.20, allerdings nur, wenn beide folgenden Bedingungen erfüllt sind:

• Das optionale Paket zimbra-snmp ist installiert.
• SNMP-Benachrichtigungen sind aktiviert.

Zimbra hat die Schwachstelle mit Version 10.1.20 behoben. Installationen, die auf diese oder eine neuere Version aktualisiert wurden, fallen nicht in den angegebenen betroffenen Versionsbereich.

Der CVE-Eintrag wurde am 13. August 2026 von der NVD übernommen und veröffentlicht und am 14. August 2026 geändert. Die von MITRE CNA vergebene CVSS-3.1-Bewertung beträgt 8.9, HIGH, mit folgendem Vektor:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Die NVD hat bislang keine eigene CVSS-Bewertung veröffentlicht. Für die NIST/NVD-Bewertung ist der Wert daher N/A.

Funktionsweise der Schwachstelle

Der Angriff beginnt mit speziell präparierten SMTP-Anfragen. Bei der Verarbeitung von SNMP-Benachrichtigungen neutralisiert Zimbra bestimmte Eingabeelemente nicht korrekt. Ein Angreifer kann dadurch versuchen, Befehle in die Anfrage einzuschleusen, die vom Betriebssystem ausgeführt werden.

Die Schwachstelle ist als CWE-78 klassifiziert, also als unzureichende Neutralisierung spezieller Elemente in einem Betriebssystembefehl. Bei erfolgreicher Ausnutzung wird der Code aus der Ferne mit den Berechtigungen des Benutzers zimbra ausgeführt.

Eine Authentifizierung ist nicht erforderlich, ebenso wenig die Interaktion eines Benutzers. Der CVSS-Vektor weist auf einen netzwerkbasierten Angriffsweg, fehlende erforderliche Berechtigungen und eine potenziell hohe Beeinträchtigung von Vertraulichkeit und Integrität hin. Die Auswirkungen auf die Verfügbarkeit werden dagegen als gering eingestuft.

Die Bewertung weist somit auf eine gravierende Schwachstelle hin. Dass sowohl zimbra-snmp als auch SNMP-Benachrichtigungen aktiviert sein müssen, schränkt jedoch die Zahl der direkt exponierten Systeme ein. Administratoren sollten beide Einstellungen überprüfen und nicht davon ausgehen, dass jede ZCS-Installation vor Version 10.1.20 automatisch ausnutzbar ist.

Aktive Ausnutzung, aber noch nicht im CISA-KEV-Katalog

CERT Polska berichtet von beobachteten oder laufenden Ausnutzungsaktivitäten. Im NVD-Eintrag weist eine SSVC-Bewertung von CISA-ADP jedoch den Wert exploitation: none aus, zusammen mit automatable: no und technicalImpact: total.

Diese Angaben widersprechen einander. Die operative Meldung von CERT Polska weist auf festgestellte Exploits hin, während das im CVE-Eintrag enthaltene SSVC-Feld keine Ausnutzung ausweist. Die CERT-Meldung sollte daher als konkreter Risikoindikator behandelt werden, ohne das NVD-Feld als endgültige Widerlegung zu interpretieren.

Die verfügbaren Informationen enthalten keinen Hinweis darauf, dass CVE-2026-73570 in den Katalog CISA Known Exploited Vulnerabilities (KEV) aufgenommen wurde. Für diese Schwachstelle sind daher weder ein Aufnahmedatum noch eine CISA-Frist zur Behebung zu nennen.

Der NVD-Eintrag verweist auf die Seiten Zimbra Security Center und Zimbra Security Advisories, nennt jedoch keine von den Angreifern verwendeten Dateinamen, Hashes, IP-Adressen oder spezifischen Payloads.

Was auf Zimbra-Servern überprüft werden sollte

Priorität hat die Aktualisierung von ZCS auf Version 10.1.20 oder höher. Vor und während der Maßnahme sollten Administratoren prüfen, ob das Paket zimbra-snmp installiert und ob die SNMP-Benachrichtigungen aktiviert sind.

CERT Polska empfiehlt außerdem, folgende Datei zu untersuchen:

/var/log/zimbra.log

Im Log sollte insbesondere nach verdächtigen Neustarts von Zimbra-Diensten gesucht werden. Ein einzelner Neustart ist nicht zwangsläufig ein Hinweis auf eine Kompromittierung. Tritt er jedoch gemeinsam mit ungewöhnlichen SMTP-Aktivitäten oder dem Auftauchen neuer Dateien auf, ist er ein relevantes Warnsignal.

Zusätzlich sollten Dateien überprüft werden, die in den letzten 30 Tagen in folgenden Verzeichnissen erstellt wurden:

/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/

Neue Dateien in diesen Pfaden können in Verbindung mit unerwarteten Dienstneustarts auf die Einrichtung einer Persistenz oder andere Aktivitäten nach der Ausnutzung hindeuten. Die verfügbaren Informationen nennen keine konkreten Dateinamen oder detaillierteren Indikatoren.

Wenn Anzeichen für einen Eindringversuch vorliegen, sollte das System nicht einfach als „aktualisiert und bereinigt“ betrachtet werden. Erforderlich sind die Sicherung der Logs, die Analyse hinzugefügter Dateien sowie die Überprüfung betroffener Konten, Prozesse und Konfigurationen.

Die frühere CVE-2025-66376 und die Kampagne Laundry Bear

Das Risiko steht in einem bereits problematischen Kontext für Zimbra. Die Schwachstelle CVE-2025-66376 betrifft die Classic UI und ermöglicht Stored Cross-Site-Scripting.

Die Schwachstelle erlaubt das Einfügen von CSS-@import-Direktiven in HTML-E-Mail-Nachrichten. Laut NVD-Beschreibung sind ZCS-10-Versionen vor 10.0.18 sowie ZCS-10.1-Versionen vor 10.1.13 betroffen. Die strukturierte Produktangabe nennt dagegen den Bereich unter 10.0.18, wodurch eine Abweichung entsteht, die Administratoren bei der Versionsprüfung berücksichtigen sollten.

CVE-2025-66376 hat eine CVSS-3.1-Bewertung von 7.2 mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Die Schwachstelle befindet sich seit dem 18. März 2026 im CISA-KEV-Katalog. Für US-Bundesbehörden galt der 1. April 2026 als Frist zur Behebung. CISA empfiehlt, die Abhilfemaßnahmen des Herstellers anzuwenden, die einschlägigen Vorgaben des BOD 22-01 für Cloud-Dienste zu befolgen oder das Produkt nicht weiter einzusetzen, falls keine Abhilfemaßnahmen verfügbar sind.

Eine von der US-Regierung dem prorussischen Akteur Laundry Bear zugeschriebene Phishing-Kampagne, der auch unter den Namen CL-STA-1114, TA488, UNK_PitStop und Void Blizzard bekannt ist, soll seit mindestens Juli 2025 Zimbra-Server westlicher Regierungs- und kommerzieller Organisationen ins Visier genommen haben. In diesem Fall soll CVE-2025-66376 zur Verteilung von ZimReaper verwendet worden sein, einem JavaScript-Payload zur Sammlung von E-Mail-Kommunikation und weiteren sensiblen Daten.

Eine öffentliche Zuordnung der Ausnutzung von CVE-2026-73570 zu Laundry Bear liegt dagegen nicht vor. Der frühere Vorfall zeigt jedoch, dass Zimbra-Umgebungen bereits Bestandteil gezielter Kampagnen waren und dass Patching, Telemetrie sowie die Überprüfung von Dateien nicht aufgeschoben werden sollten.