Útočníci zneužívají zranitelnost CVE-2026-73570 v poštovním serveru Zimbra Collaboration Suite k převzetí internetově dostupných serverů, nasazování webshellů a krádeži obsahu schránek i přístupových údajů. Chyba má skóre CVSS 8,9 a jde o neověřené injektování příkazů operačního systému, tedy o vzdálené spuštění kódu. Útok se spustí speciálně upraveným požadavkem SMTP, nevyžaduje přihlášení ani zásah uživatele. Zranitelné jsou jen servery, které mají zapnuté oznamování přes SNMP a nainstalovaný balíček zimbra-snmp.

Oprava vyšla 20. července 2026 ve verzi Zimbra Collaboration Suite 10.1.20. Skenování zranitelných serverů bylo podle dostupných informací zaznamenáno od 28. července do 7. srpna, a to dvěma různými nástroji, a veřejně byla zranitelnost popsána 13. srpna. Neopravené servery jsou tedy ohrožené už několik týdnů.

Po úspěšném průniku útočníci nasazují webshelly JSP v adresářích Jetty a mailboxd, reverzní shell a zvyšují oprávnění. Trvalý přístup zajišťují službou systemd s názvem zimlog.service, úlohami cron, klíči SSH, lokálními účty nebo službami OpenRC. Využívají i spouštění kódu v paměti, které po sobě zanechává méně stop.

Hlavním cílem je krádež dat. Útočníci shromažďují e-maily a obsah schránek, přihlašovací údaje a tajné klíče servisních účtů Zimbry, exportují databázové tabulky se schránkami, mobilními zařízeními a nastavením automatických odpovědí, a také certifikáty a artefakty LDAP. K mapování nasazení používají nástroj zmprov, čtou konfiguraci příkazem zmlocalconfig -s a v adresáři LDAP hledají klíče a tajné údaje, například zimbraPreAuthKey, zimbraAuthTokenKey a zimbraTwoFactorAuthSecret. Mezi uzly clusteru se pohybují pomocí rsync a data odesílají do úložiště Azure Blob nástrojem AzCopy.