Zimbra sotto attacco: command injection sfruttata in the wild, CISA impone la patch

Una falla critica entra nel catalogo KEV con scadenza immediata

Il 21 agosto la CISA ha aggiunto CVE-2026-73570 al catalogo Known Exploited Vulnerabilities (KEV). Si tratta di una vulnerabilità di command injection nel componente di gestione delle notifiche SNMP di Zimbra Collaboration Suite (ZCS). La scadenza per le agenzie federali statunitensi è fissata a tre giorni dopo: il 24 agosto.

La CVE è stata pubblicata dal NVD il 13 agosto e modificata l'ultima volta proprio il 24 agosto. Il punteggio CVSS v3.1 attribuito dal CNA MITRE è 8,9, classificato come HIGH. Il vettore è CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L: exploitabile da rete, senza privilegi né interazione dell'utente, con impatto elevato su riservatezza e integrità e impatto limitato sulla disponibilità.

Le versioni interessate sono tutte quelle precedenti alla 10.1.20. La correzione è stata rilasciata il 20 luglio con la versione 10.1.20. Chi utilizza release più vecchie ed espone ZCS su internet deve aggiornare immediatamente.

Come funziona l'exploit: richieste SMTP contro le notifiche SNMP

La vulnerabilità riguarda la sanitizzazione insufficiente dell'input non attendibile durante l'elaborazione delle notifiche SNMP. Un attaccante non autenticato può inviare richieste SMTP appositamente predisposte per ottenere esecuzione arbitraria di comandi del sistema operativo con i privilegi dell'utente zimbra.

Due condizioni sono necessarie perché l'attacco riesca. Il pacchetto opzionale zimbra-snmp deve essere installato e le notifiche SNMP devono essere abilitate. Se una di queste due condizioni manca, la falla non è sfruttabile. Non risulta però un workaround ufficiale alternativo alla patch: la mitigazione consigliata è aggiornare alla versione corretta.

La CWE associata è CWE-78, "Improper Neutralization of Special Elements used in an OS Command". Il punteggio CVSS 8.9 proviene dal CNA MITRE. Il NVD non ha ancora fornito una propria valutazione per le versioni 4.0, 3.x e 2.0. Anche il CISA ADP ha aggiornato il valore exploitation da none ad active il 21 agosto, confermando lo sfruttamento attivo.

Esposizione e compromissioni: 12mila server online, 270 già colpiti

Secondo quanto riportato da BleepingComputer, la segnalazione dello sfruttamento in the wild è arrivata per prima da CERT Polska la scorsa settimana. CISA ha poi confermato e inserito la CVE nel KEV.

Shadowserver sta monitorando più di 12.000 server Zimbra esposti su internet. Sempre la scorsa settimana ha dichiarato di aver individuato oltre 270 istanze di Zimbra Collaboration Suite compromesse, cercando artefatti di sfruttamento della CVE-2026-73570. Non è noto quanti di questi server siano honeypot o fossero già stati messi in sicurezza prima della rilevazione.

CISA non ha diffuso dettagli sugli attacchi in corso. Al momento non risulta un'attribuzione nominata per lo sfruttamento corrente. L'assenza di informazioni pubbliche non riduce la gravità: la presenza nel KEV indica che la falla è già usata da attaccanti reali.

Zimbra nel mirino dei gruppi statali: una storia recente

Zimbra Collaboration Suite è una piattaforma di posta e collaborazione molto diffusa. Secondo BleepingComputer è usata da centinaia di milioni di organizzazioni e persone, incluse centinaia di agenzie governative e migliaia di aziende. Proprio per questa diffusione, i suoi server di posta sono un obiettivo ricorrente per lo spionaggio informatico.

Negli ultimi anni diverse vulnerabilità di Zimbra sono state sfruttate in the wild per rubare dati sensibili. Secondo ricercatori Seqrite Labs, il gruppo statale russo APT28 avrebbe sfruttato a marzo una stored XSS contro server ZCS di agenzie governative ucraine. L'anno dell'episodio non è stato specificato dalle fonti, ma BleepingComputer lo riporta come fatto recente.

Nell'ottobre 2024, agenzie cyber di Stati Uniti e Regno Unito avevano avvertito che APT29, noto anche come Midnight Blizzard o Cozy Bear, prendeva di mira server Zimbra usando una falla già sfruttata per rubare credenziali email. Anche il gruppo di cyberspionaggio russo Winter Vivern ha abusato in passato di una reflected XSS per sottrarre email di individui e organizzazioni allineati alla NATO tramite portali webmail Zimbra.

La nuova command injection si inserisce quindi in una serie di attacchi mirati contro ZCS, spesso condotti da attori statali o filo-statali.

Cosa fare: patch, controlli forensi e indicatori di compromissione

La prima azione è aggiornare Zimbra Collaboration Suite alla versione 10.1.20 o successiva. La patch è disponibile dal 20 luglio. Per i servizi cloud, la CISA richiede di seguire le indicazioni della Direttiva Operativa Vincolante BOD 26-04 oppure di interrompere l'uso del prodotto se le mitigazioni non sono disponibili.

La BOD 26-04 impone alle agenzie federali statunitensi di dare priorità alla remediation delle vulnerabilità ad alto rischio presenti nel KEV, soprattutto su asset esposti pubblicamente che dopo l'exploit garantiscono controllo totale dell'asset. La direttiva stabilisce anche quando le agenzie devono verificare se gli attaccanti hanno compromesso il sistema prima dell'applicazione della patch. CISA richiede di eseguire i controlli previsti dai "Forensics Triage Requirements" per individuare eventuali compromissioni antecedenti.

CERT Polska ha chiesto ai team di sicurezza di verificare nei log eventuali attività sospette. Gli indicatori da cercare includono riavvii inattesi del servizio Zimbra e la creazione di file nelle seguenti cartelle da parte dell'utente zimbra negli ultimi 30 giorni:

• /opt/zimbra/jetty/webapps/
• /opt/zimbra/jetty_base/webapps/
• /tmp/

La presenza di file sospetti in queste directory può indicare che un attaccante ha già caricato una webshell o altri artefatti. In tal caso, la sola patch non basta: serve un'analisi forense completa per escludere persistenza e movimenti laterali.

Per le organizzazioni non federali la BOD 26-04 non è vincolante, ma CISA incoraggia tutte le realtà ad adottare una gestione delle vulnerabilità basata sul rischio e a dare priorità alla remediation delle CVE presenti nel KEV. La scadenza del 24 agosto riguarda solo le agenzie FCEB statunitensi, ma la presenza di exploit attivi rende urgente l'aggiornamento per chiunque esponga Zimbra su internet.