Zimbra, CVE-2026-73570 sfruttata in attacchi reali: chi deve aggiornare subito

Attacchi in corso contro server Zimbra

Una vulnerabilità di Zimbra Collaboration, identificata come CVE-2026-73570, è stata osservata in sfruttamento reale contro server esposti. CERT Polska ha riferito di aver rilevato attacchi “questa settimana”; la notizia è stata rilevata il 20 agosto 2026.

L’identità dell’attaccante e gli obiettivi della campagna non sono noti. CERT Polska ha però pubblicato indicatori di compromissione, che gli amministratori dovrebbero recuperare dall’avviso originale e confrontare con i propri sistemi.

Il difetto interessa Zimbra Collaboration, noto anche come Zimbra Collaboration Suite (ZCS). Un attaccante remoto non autenticato può sfruttarlo per eseguire comandi arbitrari sul sistema operativo con i privilegi dell’utente Zimbra.

La condizione è specifica: sul server devono essere presenti il pacchetto opzionale zimbra-snmp e le notifiche SNMP devono essere abilitate. Le versioni interessate sono quelle precedenti alla 10.1.20.

Come funziona la vulnerabilità

CVE-2026-73570 è una vulnerabilità di tipo OS command injection, classificata come CWE-78. Il problema nasce dalla mancata corretta sanitizzazione di dati non attendibili durante l’elaborazione delle notifiche SNMP.

Il vettore d’attacco utilizza richieste SMTP appositamente costruite. Non servono credenziali e non è richiesta alcuna interazione da parte dell’utente. La complessità dell’attacco è considerata alta, ma il risultato può essere rilevante: l’esecuzione avviene con l’identità dell’utente Zimbra e può avere effetti oltre il componente direttamente vulnerabile.

La valutazione CVSS 3.1 è 8.9, livello alto, con vettore:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

Il punteggio è attribuito al CNA MITRE. NVD non ha ancora pubblicato una propria valutazione: per CVSS 4.0, 3.x e 2.0 il punteggio NIST risulta indicato come N/A.

La combinazione tra accesso remoto, assenza di autenticazione e impatto elevato su riservatezza e integrità rende il difetto particolarmente delicato per le installazioni che usano Zimbra come piattaforma di posta principale.

Quali conseguenze può avere un server compromesso

L’esecuzione di comandi con i privilegi dell’utente Zimbra non equivale automaticamente al controllo completo del sistema operativo, ma offre all’attaccante una base operativa significativa.

Dopo l’accesso iniziale, l’intruso potrebbe tentare di:

• mantenere la persistenza sul server;
• accedere alle caselle e ai messaggi;
• raccogliere credenziali e token;
• modificare configurazioni o regole della posta;
• utilizzare il sistema per raggiungere altre risorse interne;
• sottrarre dati o informazioni presenti nell’infrastruttura.

Il rischio riguarda soprattutto organizzazioni che gestiscono posta elettronica aziendale, istituzionale o amministrativa su server Zimbra direttamente raggiungibili dalla rete. Un server di posta compromesso può diventare anche una fonte affidabile per campagne di phishing interne, abuso di account legittimi e sottrazione di corrispondenza.

Non è stata resa nota un’attribuzione per la campagna attuale. In precedenti operazioni contro vulnerabilità Zimbra sono comparsi sia gruppi sponsorizzati da Stati, interessati a informazioni militari e diplomatiche, sia criminali opportunistici orientati al profitto. Questo precedente non consente di associare CVE-2026-73570 a uno specifico attore.

La correzione e le verifiche da eseguire

La correzione è inclusa in Zimbra Collaboration 10.1.20, rilasciata il 20 luglio. Gli amministratori dovrebbero aggiornare alla versione 10.1.20 o successiva, seguendo le procedure supportate dal vendor.

La prima verifica riguarda la presenza del pacchetto opzionale:

zimbra-snmp

Va controllato anche lo stato delle notifiche SNMP. Le installazioni che non utilizzano questa funzione dovrebbero valutarne la disabilitazione o la rimozione, sempre attraverso le procedure previste da Zimbra. Questa misura riduce la superficie d’attacco, ma non sostituisce l’aggiornamento.

Dopo la patch è opportuno esaminare:

• log SMTP alla ricerca di richieste anomale o costruite appositamente;
• processi inattesi eseguiti dall’utente zimbra;
• modifiche recenti a script, configurazioni e attività pianificate;
• accessi insoliti alle caselle di posta;
• nuovi account, regole di inoltro o meccanismi di persistenza;
• connessioni verso sistemi interni non abituali.

Gli indicatori pubblicati da CERT Polska possono aiutare nella ricerca, ma devono essere acquisiti dall’avviso ufficiale, perché non sono riportati qui.

In caso di sospetta compromissione, il server va isolato senza cancellare le tracce. Occorre preservare log e artefatti, ruotare le credenziali potenzialmente esposte, verificare gli account di posta e controllare eventuali movimenti laterali nella rete.

CVE-2026-73570 non è ancora nel catalogo CISA KEV

Al momento rappresentato dalla fonte CISA, CVE-2026-73570 non risulta inclusa nel catalogo Known Exploited Vulnerabilities (KEV). Di conseguenza non esistono, per questa falla, una data di inserimento o una scadenza CISA specifica per la remediation.

L’assenza dal catalogo non riduce però l’urgenza: CERT Polska ha già segnalato sfruttamento in ambiente reale. Il KEV è uno strumento di priorità, non un elenco completo di ogni attacco osservato.

Zimbra conta comunque 18 vulnerabilità nel catalogo CISA KEV. Tra i precedenti più recenti figurano CVE-2025-48700, aggiunta il 20 aprile 2026 con scadenza 23 aprile 2026, e CVE-2025-66376, inserita il 18 marzo 2026 con scadenza 1° aprile 2026.

CISA ha inoltre inserito CVE-2020-7796 il 17 febbraio 2026, con scadenza 10 marzo 2026, e CVE-2025-68645 il 22 gennaio 2026, con scadenza 12 febbraio 2026. Per queste vulnerabilità l’indicazione operativa è applicare le mitigazioni del vendor, seguire le disposizioni applicabili ai servizi cloud oppure interrompere l’uso del prodotto se non esistono mitigazioni disponibili.

Il quadro mostra che CVE-2026-73570 non è un episodio isolato per l’ecosistema Zimbra. Per gli amministratori, la priorità è verificare subito esposizione, pacchetto zimbra-snmp, notifiche SNMP e versione installata, senza attendere un’eventuale inclusione nel KEV.