Zimbra unter Beschuss: Command-Injection in freier Wildbahn ausgenutzt, CISA fordert Patch

Kritische Schwachstelle wird mit sofortiger Frist in den KEV-Katalog aufgenommen

Am 21. August hat die CISA CVE-2026-73570 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Es handelt sich um eine Command-Injection-Schwachstelle in der SNMP-Benachrichtigungsverwaltungskomponente der Zimbra Collaboration Suite (ZCS). Die Frist für US-Bundesbehörden ist drei Tage später, am 24. August, festgesetzt.

Die CVE wurde vom NVD am 13. August veröffentlicht und zuletzt genau am 24. August geändert. Der vom CNA MITRE vergebene CVSS-v3.1-Wert beträgt 8,9 und wird als HOCH eingestuft. Der Vektor lautet CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L: aus dem Netzwerk ausnutzbar, ohne Berechtigungen oder Nutzerinteraktion, mit hohen Auswirkungen auf Vertraulichkeit und Integrität und begrenzten Auswirkungen auf die Verfügbarkeit.

Betroffen sind alle Versionen vor 10.1.20. Der Fix wurde am 20. Juli mit Version 10.1.20 veröffentlicht. Wer ältere Releases einsetzt und ZCS im Internet exponiert, muss sofort aktualisieren.

So funktioniert der Exploit: SMTP-Anfragen gegen SNMP-Benachrichtigungen

Die Schwachstelle betrifft eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Ein nicht authentifizierter Angreifer kann speziell gestaltete SMTP-Anfragen senden, um eine beliebige Ausführung von Betriebssystembefehlen mit den Rechten des Benutzers zimbra zu erlangen.

Zwei Bedingungen sind für einen erfolgreichen Angriff erforderlich. Das optionale Paket zimbra-snmp muss installiert und die SNMP-Benachrichtigungen müssen aktiviert sein. Fehlt eine dieser beiden Bedingungen, ist die Schwachstelle nicht ausnutzbar. Es gibt jedoch keinen offiziellen Workaround als Alternative zum Patch; die empfohlene Abhilfe ist die Aktualisierung auf die korrigierte Version.

Die zugehörige CWE ist CWE-78, „Unsachgemäße Neutralisierung spezieller Elemente in Betriebssystembefehlen“. Der CVSS-Wert 8,9 stammt vom CNA MITRE. Das NVD hat noch keine eigene Bewertung für die Versionen 4.0, 3.x und 2.0 bereitgestellt. Auch das CISA ADP hat den Wert exploitation am 21. August von none auf active aktualisiert und damit die aktive Ausnutzung bestätigt.

Exposition und Kompromittierungen: 12.000 Server online, 270 bereits betroffen

Wie BleepingComputer berichtet, kam der erste Hinweis auf die Ausnutzung in freier Wildbahn letzte Woche von CERT Polska. Die CISA hat dies anschließend bestätigt und die CVE in den KEV aufgenommen.

Shadowserver überwacht derzeit mehr als 12.000 im Internet exponierte Zimbra-Server. Ebenfalls letzte Woche gab das Unternehmen bekannt, über 270 kompromittierte Instanzen der Zimbra Collaboration Suite identifiziert zu haben, indem es nach Artefakten der Ausnutzung von CVE-2026-73570 suchte. Es ist nicht bekannt, wie viele dieser Server Honeypots sind oder bereits vor der Erkennung abgesichert wurden.

Die CISA hat keine Einzelheiten zu den laufenden Angriffen veröffentlicht. Derzeit gibt es keine namentliche Zuordnung für die aktuelle Ausnutzung. Das Fehlen öffentlicher Informationen mindert die Schwere nicht: Die Aufnahme in den KEV zeigt, dass die Schwachstelle bereits von realen Angreifern genutzt wird.

Zimbra im Visier staatlicher Gruppen: eine jüngere Geschichte

Die Zimbra Collaboration Suite ist eine weit verbreitete E-Mail- und Kollaborationsplattform. Laut BleepingComputer wird sie von Hunderten Millionen Organisationen und Personen genutzt, darunter Hunderte Regierungsbehörden und Tausende Unternehmen. Gerade wegen dieser Verbreitung sind ihre Mailserver ein wiederkehrendes Ziel für Cyberspionage.

In den letzten Jahren wurden mehrere Zimbra-Schwachstellen in freier Wildbahn ausgenutzt, um sensible Daten zu stehlen. Nach Erkenntnissen von Seqrite Labs soll die russische staatliche Gruppe APT28 im März eine gespeicherte XSS-Schwachstelle gegen ZCS-Server ukrainischer Regierungsbehörden ausgenutzt haben. Das Jahr des Vorfalls wird von den Quellen nicht angegeben, BleepingComputer berichtet jedoch von einem jüngeren Ereignis.

Im Oktober 2024 hatten Cyberbehörden der USA und des Vereinigten Königreichs gewarnt, dass APT29, auch bekannt als Midnight Blizzard oder Cozy Bear, Zimbra-Server mit einer bereits ausgenutzten Schwachstelle ins Visier nahm, um E-Mail-Zugangsdaten zu stehlen. Auch die russische Cyberspionagegruppe Winter Vivern hat in der Vergangenheit eine reflektierte XSS-Schwachstelle missbraucht, um über Zimbra-Webmail-Portale E-Mails von NATO-nahen Einzelpersonen und Organisationen abzugreifen.

Die neue Command-Injection reiht sich damit in eine Serie gezielter Angriffe gegen ZCS ein, die häufig von staatlichen oder staatsnahen Akteuren durchgeführt werden.

Was zu tun ist: Patch, forensische Prüfungen und Kompromittierungsindikatoren

Die erste Maßnahme ist die Aktualisierung der Zimbra Collaboration Suite auf Version 10.1.20 oder höher. Der Patch ist seit dem 20. Juli verfügbar. Für Cloud-Dienste verlangt die CISA, den Vorgaben der verbindlichen Betriebsanweisung BOD 26-04 zu folgen oder die Nutzung des Produkts einzustellen, wenn keine Abhilfemaßnahmen verfügbar sind.

Die BOD 26-04 verpflichtet US-Bundesbehörden, der Behebung von Hochrisiko-Schwachstellen im KEV Vorrang einzuräumen, insbesondere auf öffentlich exponierten Assets, die nach einem Exploit die vollständige Kontrolle über das Asset ermöglichen. Die Anweisung legt auch fest, wann Behörden prüfen müssen, ob Angreifer das System vor dem Einspielen des Patches kompromittiert haben. Die CISA fordert die Durchführung der in den „Forensik-Triage-Anforderungen“ vorgesehenen Prüfungen, um frühere Kompromittierungen zu erkennen.

CERT Polska hat Sicherheitsteams aufgefordert, die Protokolle auf verdächtige Aktivitäten zu überprüfen. Zu den Indikatoren, nach denen gesucht werden sollte, gehören unerwartete Neustarts des Zimbra-Dienstes und die Erstellung von Dateien in den folgenden Ordnern durch den Benutzer zimbra in den letzten 30 Tagen:

• /opt/zimbra/jetty/webapps/
• /opt/zimbra/jetty_base/webapps/
• /tmp/

Das Vorhandensein verdächtiger Dateien in diesen Verzeichnissen kann darauf hindeuten, dass ein Angreifer bereits eine Webshell oder andere Artefakte hochgeladen hat. In diesem Fall reicht der Patch allein nicht aus: Eine vollständige forensische Analyse ist erforderlich, um Persistenz und laterale Bewegungen auszuschließen.

Für nicht-bundesstaatliche Organisationen ist die BOD 26-04 nicht bindend, aber die CISA ermutigt alle Einrichtungen, ein risikobasiertes Schwachstellenmanagement einzuführen und der Behebung von im KEV aufgeführten CVEs Vorrang einzuräumen. Die Frist am 24. August betrifft nur US-FCEB-Behörden, aber das Vorhandensein aktiver Exploits macht die Aktualisierung für jeden dringend, der Zimbra im Internet exponiert.