Dringende Warnung für Zimbra-Nutzer: Kritische Schwachstelle wird bereits aktiv ausgenutzt
Zimbra Collaboration vor 10.1.20 ist von aktiv ausgenutzter CVE-2026-73570 betroffen: Command-Injection ohne Authentifizierung. Jetzt patchen und prüfen.
Dringende Warnung für Zimbra-Nutzer: Kritische Schwachstelle wird bereits aktiv ausgenutzt
Für Betreiber von Zimbra Collaboration Suite (ZCS) besteht derzeit dringender Handlungsbedarf: Angreifer nutzen CVE-2026-73570 bereits aktiv aus. Die Schwachstelle kann unter bestimmten Konfigurationen eine nicht authentifizierte Remote-Ausführung von Betriebssystembefehlen ermöglichen.
Betroffen sind Zimbra-Installationen vor Version 10.1.20, wenn das optionale Paket zimbra-snmp installiert ist und SNMP-Benachrichtigungen aktiviert sind. CERT Polska meldete aktive Angriffe, und CISA nahm die Schwachstelle in den Katalog der Known Exploited Vulnerabilities auf.
Was steckt hinter CVE-2026-73570?
CVE-2026-73570 ist eine OS-Command-Injection-Schwachstelle in der Verarbeitung von SNMP-Benachrichtigungen. Nicht ausreichend bereinigte Eingaben können laut veröffentlichter Beschreibung dazu führen, dass ein nicht authentifizierter Angreifer speziell präparierte SMTP-Anfragen sendet und dadurch Betriebssystembefehle mit den Rechten des Benutzers zimbra ausführt.
Entscheidend sind zwei Bedingungen:
- Das optionale Paket
zimbra-snmpist installiert. - SNMP-Benachrichtigungen sind aktiviert.
Die verwundbaren Versionen liegen vor Zimbra Collaboration 10.1.20. MITRE bewertet die Schwachstelle mit einem CVSS-v3.1-Score von 8,9. NVD
Warum ist die Lage besonders dringend?
Eine veröffentlichte Sicherheitsaktualisierung schützt nicht automatisch Server, die noch nicht aktualisiert wurden. Bei einer aktiv ausgenutzten Schwachstelle müssen Betreiber davon ausgehen, dass Angreifer gezielt nach verwundbaren Systemen suchen.
CERT Polska berichtete über aktive Ausnutzung. CISA nahm CVE-2026-73570 am 21. August 2026 in den KEV-Katalog auf. Für öffentlich erreichbare Zimbra-Server ist eine schnelle Priorisierung deshalb notwendig. CISA KEV-Katalog
Ein erfolgreicher Angriff kann die Ausführung von Befehlen als Zimbra-Servicekonto ermöglichen. Je nach Umgebung kann ein Folgeangriff den Zugriff auf Postfächer, den Diebstahl von Zugangsdaten, dauerhafte Persistenz, Datenabfluss oder die Bewegung zu weiteren Systemen ermöglichen.
Diese Schritte sollten Administratoren jetzt durchführen
1. Betroffene Systeme ermitteln
Prüfen Sie auf jedem Zimbra-Server die installierte Version. Stellen Sie außerdem fest, ob zimbra-snmp installiert ist und ob SNMP-Benachrichtigungen aktiviert sind.
2. Auf eine korrigierte Version aktualisieren
Zimbra 10.1.20 enthält eine Behebung für die SNMP-Schwachstelle. Aktualisieren Sie betroffene Systeme so schnell wie möglich auf eine vom Hersteller unterstützte korrigierte Version. Ist ein sofortiges Update nicht möglich, folgen Sie den offiziellen Herstellerhinweisen und reduzieren Sie die Exponierung. Zimbra-Sicherheitshinweise
3. Nach Anzeichen einer Kompromittierung suchen
Da Angriffe bereits beobachtet wurden, reicht Patchen bei zuvor exponierten Systemen möglicherweise nicht aus. CERT Polska empfiehlt unter anderem, ungewöhnliche Neustarts des Zimbra-Dienstes sowie verdächtige Dateien zu prüfen, die vom Benutzer zimbra in folgenden Bereichen erstellt wurden:
/opt/zimbra/jetty/webapps//opt/zimbra/jetty_base/webapps//tmp/
Ungewöhnliche Dateien sollten zusammen mit Prozessen, Netzwerkverbindungen, geplanten Aufgaben und Kontoänderungen untersucht werden.
4. Beweise sichern
Besteht ein Kompromittierungsverdacht, sollten relevante Logs und Systemspuren gesichert werden, bevor Dateien gelöscht oder Systeme neu aufgebaut werden. Das hilft bei der Bestimmung des Angriffswegs und des tatsächlichen Umfangs.
5. Zugänge überprüfen
Kontrollieren Sie Administrator- und Servicekonten, Tokens, SSH-Schlüssel, Weiterleitungsregeln und mögliche Persistenzmechanismen. Zugangsdaten sollten nach einer angemessenen Risikobewertung rotiert werden.
Kurz-Checkliste
- Zimbra-Version prüfen.
- Installation von
zimbra-snmpprüfen. - SNMP-Benachrichtigungen prüfen.
- Auf Version 10.1.20 oder eine spätere unterstützte korrigierte Version aktualisieren.
- Logs und auffälliges SMTP-Verhalten untersuchen.
- Verdächtige Dateien in Zimbra- und temporären Verzeichnissen prüfen.
- Auf Persistenz und unbefugte Kontoänderungen achten.
- Bei Verdacht Beweise sichern und den Incident-Response-Prozess starten.
Häufig gestellte Fragen
Wird CVE-2026-73570 aktiv ausgenutzt?
Ja. CERT Polska meldete aktive Ausnutzung, und CISA führte die Schwachstelle im KEV-Katalog. CERT Polska
Welche Zimbra-Versionen sind betroffen?
Versionen vor 10.1.20, sofern zimbra-snmp installiert und SNMP-Benachrichtigungen aktiviert sind.
Ist eine Anmeldung für den Angriff erforderlich?
Der veröffentlichten Beschreibung zufolge kann der Angriff unter der betroffenen Konfiguration ohne Authentifizierung erfolgen.
Reicht ein Update aus?
Das Update beseitigt die bekannte Schwachstelle, aber ein bereits kompromittierter Server kann zusätzliche forensische Untersuchung erfordern.
Fazit
CVE-2026-73570 ist kein gewöhnliches Wartungsproblem. Die Schwachstelle wird aktiv ausgenutzt und kann unter der betroffenen SNMP-Konfiguration eine nicht authentifizierte Ausführung von Befehlen ermöglichen. Prüfen Sie Ihre Systeme, installieren Sie die korrigierte Version und untersuchen Sie zuvor exponierte Server auf mögliche Spuren eines Angriffs.
