Критическую уязвимость в почтовой платформе Zimbra Collaboration Suite используют хакеры, пытающиеся получить резервные копии электронной почты и учетные данные организаций. Об этом предупредила Microsoft в публикации на своем сайте. Атаки направлены на серверы, доступные из интернета.
Проблема получила обозначение CVE-2026-73570 и позволяет удаленно выполнять команды операционной системы без авторизации. Уязвимость связана с путем обработки уведомлений SNMP (сетевого протокола управления) в Zimbra Collaboration Suite. Эксплуатация возможна, если на сервере установлен дополнительный пакет zimbra-snmp и включена отправка SNMP-уведомлений.
Разработчик Zimbra компания Synacor выпустила исправление 20 июля, однако раскрыла сведения об уязвимости лишь более чем через три недели. Фонд Shadowserver, специализирующийся на кибербезопасности, сообщил, что обнаружил 274 взломанных экземпляра Zimbra Collaboration Suite. После выхода патча число серверов с этой системой менялось: с 19 тысяч в течение недели после обновления оно снизилось примерно до 12 тысяч, а сейчас Shadowserver отслеживает около 10 тысяч экземпляров.
По данным Microsoft, с 28 июля по 7 августа злоумышленники применяли два разных инструмента для поиска уязвимых серверов в интернете. Сначала они проверяли работоспособность эксплойта с помощью HTTP-запросов, а также DNS-, ICMP- и внеполосных проверок через домены, размещенные на общедоступных сервисах. Это позволяло убедиться в выполнении команд на сервере без его немедленного взлома.
Затем атакующие начали устанавливать вредоносные компоненты. Microsoft зафиксировала веб-шеллы на JSP (страницах Java), обратные оболочки, повышение привилегий, инструменты постоянного удаленного доступа и выполнение кода из памяти. Злоумышленники также получали доступ к электронной почте, собирали данные учетных записей и почтовых ящиков, создавали архивы и передавали их; среди атак были как автоматическая доставка вредоносных компонентов, так и ручные действия операторов.
Атаки затронули организации из нескольких регионов и отраслей, поэтому, как отмечает Microsoft, злоумышленники не ограничивались одной сферой или географической зоной. Компания Synacor выпустила обновление для устранения CVE-2026-73570, однако продолжающаяся активность показывает, что уязвимые серверы остаются целью атакующих.