Eine kritische Zimbra-RCE-Schwachstelle wird derzeit aktiv ausgenutzt. Administratoren sollten daher anfällige E-Mail-Server patchen und ihre Systeme auf Anzeichen einer Kompromittierung überprüfen. Das Problem betrifft Installationen der Zimbra Collaboration Suite, die SNMP-Benachrichtigungen verwenden.
Die als CVE-2026-73570 verfolgte Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, Betriebssystembefehle als Zimbra-Benutzer auszuführen. Angreifer können die Schwachstelle durch speziell präparierte SMTP-Anfragen auslösen und sich dadurch möglicherweise Zugang zu einer angegriffenen E-Mail-Umgebung verschaffen.
Kritische Zimbra-Schwachstelle ermöglicht Remote-Codeausführung
Zimbra veröffentlichte am 20. Juli 2026 die Version 10.1.20, um CVE-2026-73570 zu beheben. Das Sicherheitsproblem entsteht durch eine unsachgemäße Verarbeitung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen.
Wenn SNMP-Benachrichtigungen aktiviert sind, kann ein Angreifer die Schwachstelle zur Befehlsinjektion ausnutzen, ohne sich zuvor anzumelden. Dadurch sinkt die Hürde für Angriffe, und öffentlich erreichbare, ungepatchte Server werden zu attraktiven Zielen.
Die Zimbra-RCE-Schwachstelle ist besonders schwerwiegend, da E-Mail-Plattformen häufig sensible Korrespondenz, Benutzerdaten und interne Geschäftsinformationen enthalten. Eine erfolgreiche Kompromittierung könnte Angreifern zudem einen Ausgangspunkt für weitere Aktivitäten innerhalb des Netzwerks einer Organisation verschaffen.
Tausende Zimbra-Server weiterhin im Internet erreichbar
Laut der Überwachung durch Shadowserver sind mehr als 12.100 Zimbra-Server im öffentlichen Internet sichtbar. Europa und Asien stellen die größten Anteile, wobei in jeder Region Tausende Systeme öffentlich erreichbar sind.
Eine öffentliche Erreichbarkeit bedeutet nicht automatisch, dass ein Server anfällig ist. Einige Systeme könnten Honeypots sein, während andere möglicherweise bereits die gepatchte Version verwenden. Die Gesamtzahl verdeutlicht jedoch weiterhin die potenzielle Angriffsfläche, die Bedrohungsakteuren zur Verfügung steht.
Administratoren sollten nicht davon ausgehen, dass eine öffentlich erreichbare Zimbra-Instanz sicher ist, nur weil bislang keine offensichtlichen Probleme aufgetreten sind. Angreifer suchen häufig gezielt nach exponierten Servern, nachdem Sicherheitsforscher und Anbieter schwerwiegende Schwachstellen veröffentlicht haben.
CERT Polska bestätigt aktive Ausnutzung
CERT Polska warnte am 17. August davor, dass Angreifer begonnen hatten, die Zimbra-RCE-Schwachstelle bei realen Angriffen auszunutzen. Die Behörde forderte Administratoren dazu auf, ihre Zimbra-Umgebungen zu überprüfen und nach verdächtigem Verhalten zu suchen.
Ein Warnzeichen ist ein unerwarteter Neustart des Zimbra-Dienstes. Administratoren sollten außerdem Dateien überprüfen, die der Benutzer zimbra in den vergangenen 30 Tagen erstellt hat, insbesondere in den folgenden Verzeichnissen:
/opt/zimbra/jetty/webapps//opt/zimbra/jetty_base/webapps//tmp/
Unerwartete Dateien an diesen Speicherorten könnten darauf hindeuten, dass ein Angreifer die Schwachstelle genutzt hat, um Payloads einzuschleusen oder dauerhaften Zugriff einzurichten. Sicherheitsteams sollten relevante Protokolle sichern und ungewöhnliche Aktivitäten untersuchen, bevor sie potenzielle Beweismittel löschen.
Zimbra-Server bleiben ein häufiges Angriffsziel
Bedrohungsgruppen haben in den vergangenen Jahren wiederholt Schwachstellen in Zimbra ins Visier genommen. Im Jahr 2023 nutzte die mit Russland in Verbindung gebrachte Gruppe Winter Vivern eine Cross-Site-Scripting-Schwachstelle in Zimbra, um E-Mails von Organisationen und Personen mit Verbindungen zu NATO-Staaten zu stehlen.
US-amerikanische und britische Behörden warnten 2024 außerdem davor, dass APT29, auch bekannt als Midnight Blizzard oder Cozy Bear, anfällige Zimbra-Server ins Visier nahm. In jüngerer Zeit brachten Forscher Aktivitäten von APT28 mit Angriffen auf Zimbra-Server ukrainischer Regierungsbehörden in Verbindung, bei denen eine weitere gespeicherte Cross-Site-Scripting-Schwachstelle zum Einsatz kam.
Diese Vorfälle zeigen, warum Zimbra-Administratoren kritische Patches als dringende Wartungsmaßnahme behandeln müssen, insbesondere wenn Angreifer damit beginnen, eine öffentlich bekannte Schwachstelle auszunutzen.
Fazit
Die Zimbra-RCE-Schwachstelle CVE-2026-73570 stellt nun ein unmittelbares Risiko für ungepatchte Installationen dar. Organisationen sollten auf Zimbra Version 10.1.20 oder höher aktualisieren, prüfen, ob SNMP-Benachrichtigungen aktiviert sind, und ihre Server auf die von CERT Polska genannten Indikatoren untersuchen.
0 Kommentare zu „Zimbra-RCE-Schwachstelle wird aktiv für Angriffe ausgenutzt“