Zimbra, sfruttata una falla SNMP che consente comandi remoti senza autenticazione

CERT Polska segnala attacchi in corso contro ZCS

CERT Polska ha segnalato lo sfruttamento attivo di CVE-2026-73570, una vulnerabilità di command injection in Zimbra Collaboration Suite (ZCS). La falla può permettere a un attaccante remoto di eseguire comandi sul sistema senza autenticarsi.

Il problema riguarda le installazioni di ZCS precedenti alla versione 10.1.20, ma solo quando sono presenti entrambe queste condizioni:

• il pacchetto opzionale zimbra-snmp è installato;
• le notifiche SNMP sono abilitate.

Zimbra ha corretto la vulnerabilità con la versione 10.1.20. Le installazioni aggiornate a questa release o a versioni successive non rientrano nell’intervallo vulnerabile indicato.

Il record CVE è stato ricevuto e pubblicato da NVD il 13 agosto 2026 e modificato il 14 agosto 2026. Il punteggio CVSS 3.1 assegnato da MITRE CNA è 8.9, HIGH, con vettore:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L

NVD non ha invece ancora pubblicato una propria valutazione CVSS: per il punteggio NIST/NVD il valore risulta N/A.

Come funziona la vulnerabilità

L’attacco parte da richieste SMTP appositamente costruite. Durante l’elaborazione delle notifiche SNMP, Zimbra non neutralizza correttamente alcuni elementi dell’input. Un aggressore può così tentare di inserire comandi destinati al sistema operativo.

La vulnerabilità è classificata come CWE-78, cioè neutralizzazione non corretta di elementi speciali utilizzati in un comando del sistema operativo. In caso di successo, il codice viene eseguito da remoto con i privilegi dell’utente zimbra.

Non è richiesta autenticazione e non serve l’interazione di un utente. Il vettore CVSS indica accesso via rete, assenza di privilegi preliminari e possibile compromissione elevata della riservatezza e dell’integrità. L’impatto sulla disponibilità è invece valutato come basso.

Il punteggio segnala quindi una falla seria, ma la presenza simultanea di zimbra-snmp e delle notifiche SNMP restringe il numero di sistemi direttamente esposti. Gli amministratori devono verificare entrambe le impostazioni, senza presumere che ogni installazione ZCS precedente alla 10.1.20 sia automaticamente sfruttabile.

Sfruttamento attivo, ma non ancora nel catalogo CISA KEV

CERT Polska parla di attività di sfruttamento osservate o in corso. Nel record NVD, tuttavia, una valutazione SSVC di CISA-ADP riporta il campo exploitation: none, insieme a automatable: no e technicalImpact: total.

Le due informazioni non coincidono. Il dato operativo di CERT Polska indica exploit rilevati, mentre il campo SSVC conservato nel record CVE riporta l’assenza di sfruttamento. È quindi opportuno trattare la segnalazione CERT come un’indicazione concreta di rischio, senza presentare il campo NVD come una smentita definitiva.

Il materiale disponibile non indica l’inserimento di CVE-2026-73570 nel catalogo CISA Known Exploited Vulnerabilities (KEV). Non risultano quindi, per questa falla, una data di ingresso nel catalogo o una scadenza CISA di remediation da riportare.

Il record NVD collega la vulnerabilità alle pagine Zimbra Security Center e Zimbra Security Advisories, ma non rende noti nomi di file usati dagli aggressori, hash, indirizzi IP o payload specifici.

Cosa controllare sui server Zimbra

La priorità è aggiornare ZCS alla versione 10.1.20 o successiva. Prima e durante l’intervento, gli amministratori dovrebbero verificare se il pacchetto zimbra-snmp è installato e se le notifiche SNMP risultano abilitate.

CERT Polska raccomanda inoltre di esaminare:

/var/log/zimbra.log

Nel log vanno cercati soprattutto riavvii sospetti dei servizi Zimbra. Un riavvio isolato non dimostra necessariamente una compromissione, ma diventa un segnale rilevante se coincide con attività SMTP anomala o con la comparsa di nuovi file.

È necessario controllare anche i file creati negli ultimi 30 giorni nelle directory:

/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/

La presenza di file nuovi in questi percorsi, associata a riavvii inattesi dei servizi, può indicare l’installazione di una persistenza o altre attività successive allo sfruttamento. Le informazioni disponibili non forniscono nomi precisi dei file da cercare né indicatori più dettagliati.

Se emergono segnali compatibili con un’intrusione, il sistema non dovrebbe essere considerato semplicemente “aggiornato e risolto”: servono la conservazione dei log, l’analisi dei file aggiunti e la verifica degli account, dei processi e delle configurazioni interessate.

Il precedente CVE-2025-66376 e la campagna Laundry Bear

Il rischio si inserisce in un contesto già problematico per Zimbra. La vulnerabilità CVE-2025-66376 colpisce la Classic UI con una tecnica di stored cross-site scripting.

La falla consente di inserire direttive CSS @import in messaggi e-mail HTML. Secondo la descrizione NVD, sono coinvolte ZCS 10 precedenti alla 10.0.18 e ZCS 10.1 precedenti alla 10.1.13. La scheda strutturata del prodotto riporta però l’intervallo inferiore a 10.0.18, creando una discrepanza che gli amministratori devono considerare quando verificano le versioni.

CVE-2025-66376 ha un punteggio CVSS 3.1 di 7.2, con vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

La vulnerabilità è nel catalogo CISA KEV dal 18 marzo 2026. Per le agenzie federali statunitensi, la scadenza di remediation era il 1 aprile 2026. L’azione indicata da CISA è applicare le mitigazioni del vendor, seguire le indicazioni applicabili di BOD 22-01 per i servizi cloud oppure interrompere l’uso del prodotto se le mitigazioni non sono disponibili.

Una campagna di phishing attribuita dal governo statunitense all’attore filorusso Laundry Bear, noto anche come CL-STA-1114, TA488, UNK_PitStop e Void Blizzard, avrebbe preso di mira server Zimbra di organizzazioni governative e commerciali occidentali almeno da luglio 2025. In quel caso, CVE-2025-66376 sarebbe stata utilizzata per distribuire ZimReaper, un payload JavaScript destinato alla raccolta di comunicazioni e-mail e altri dati sensibili.

Non c’è invece un’attribuzione pubblica dello sfruttamento di CVE-2026-73570 a Laundry Bear. Il precedente dimostra però che gli ambienti Zimbra sono già stati inclusi in campagne mirate e che patch, telemetria e controllo dei file non possono essere rimandati.