CISA 紧急命令修复正在被积极利用的 Zimbra 漏洞

美国网络安全与基础设施安全局（CISA）已下令美国政府机构在三天内修补Zimbra Collaboration Suite（ZCS）中一个正在被积极利用的漏洞。

Zimbra安全团队已于7月20日发布的10.1.20版本中修复了该安全漏洞（编号CVE-2026-73570）。

成功利用该漏洞允许未认证攻击者通过利用SNMP监控组件中的命令注入弱点实现远程代码执行（当目标系统启用SNMP通知时）。

“由于在SNMP通知处理过程中对不可信输入的清理不当，未认证攻击者可发送特制SMTP请求，可能导致以Zimbra用户身份执行任意操作系统命令，”公告解释称。

CISA的警告发布前，波兰计算机应急响应团队（CERT Polska）已于上周一首次标记该漏洞为野外定向利用目标。

虽然威胁安全监控机构Shadowserver追踪到超过12,000台Zimbra服务器暴露在互联网上，但目前尚无信息表明其中有多少是蜜罐或已针对CVE-2026-73570漏洞攻击进行了加固。

周一，Shadowserver还表示，在搜寻CVE-2026-73570利用痕迹时，已发现超过270个被入侵的Zimbra Collaboration Suite实例。

周五，CISA确认了CERT Polska的警报，将该漏洞加入其KEV目录，并要求美国联邦民事行政部门（FCEB）机构在三天内（即8月24日前）加固其系统。

虽然CISA未分享有关这些持续攻击的任何信息，但波兰CERT团队要求安全团队检查日志中是否存在可疑活动，例如Zimbra服务意外重启，以及过去30天内用户zimbra创建的文件。

ZCS是一款流行的电子邮件和协作套件，全球数亿组织和个人使用，包括数百家政府机构和数千家企业。

Zimbra安全问题经常在野外被利用，近年来已被用于从易受攻击的邮件服务器窃取敏感数据。

最近，Seqrite Labs研究人员于3月披露，APT28（与俄罗斯军事情报部门有关联的国家支持威胁组织）正在利用一个存储型跨站脚本（XSS）漏洞攻击乌克兰政府ZCS服务器。

2024年10月，美国和英国网络机构警告称，与俄罗斯对外情报局有关的APT29黑客（跟踪为Midnight Blizzard和Cozy Bear）正利用此前被用于窃取电子邮件账户凭据的漏洞攻击Zimbra服务器。

俄罗斯Winter Vivern网络间谍也曾滥用反射型跨站脚本（XSS）漏洞，通过Zimbra网络邮件门户窃取北约相关个人和组织的电子邮件。