Hackers começaram a explorar uma vulnerabilidade de injeção de comando no sistema operacional do Zimbra Collaboration Suite (ZCS) pouco depois da publicação das correções, mas antes da divulgação pública, segundo a Microsoft. Registrada como CVE-2026-73570 (CVSS 8.9), a falha existe porque, no ZCS anterior à versão 10.1.20, a entrada não confiável durante o processamento de notificações SNMP é sanitizada de forma inadequada.
Exploração exige pacote SNMP e notificações habilitadas
Se o pacote zimbra-snmp estiver instalado e as notificações SNMP estiverem habilitadas, um atacante pode acionar o defeito por meio de requisições SMTP especialmente preparadas. A exploração bem-sucedida permite que atacantes não autenticados alcancem execução remota de código com os privilégios do usuário Zimbra. As correções para a CVE-2026-73570 foram publicadas em 20 de julho na versão 10.1.20 do ZCS, e a vulnerabilidade foi divulgada publicamente em 13 de agosto. O CERT Polska sinalizou o defeito como explorado e publicou indicadores de comprometimento em 17 de agosto, mas a exploração em campo começou entre a correção e a divulgação pública.
Ferramentas de sondagem antecederam a exploração
“Entre 28 de julho e 7 de agosto, depois que uma correção ficou disponível em 20 de julho, mas antes da divulgação pública em 13 de agosto, a Microsoft observou duas ferramentas distintas de sondagem fora de banda investigando o ponto de injeção vulnerável”, afirma a Microsoft. A atividade de reconhecimento usou um caminho de execução que foi visto posteriormente durante a exploração e serviu para validar a execução de comandos por meio de sondagens leves, sem entregar um payload.
Web shells e persistência via systemd
Como parte da atividade de exploração subsequente, os atacantes instalaram web shells JSP em diretórios de aplicações acessíveis publicamente, executaram conteúdo por meio de wget ou curl, iniciaram processos em segundo plano e estabeleceram shells reversos interativos. “Múltiplos web shells JSP foram instalados nos caminhos das aplicações Jetty e mailboxd, incluindo cópias adicionais em nós de caixa de correio pares. Isso forneceu caminhos de acesso alternativos entre diferentes configurações do Zimbra e reduziu a dependência de um único web shell”, observa a Microsoft. Os atacantes então mapearam clusters, coletaram impressões digitais do ambiente, verificaram a identidade SSH do Zimbra, escalaram privilégios para root usando ferramentas legítimas do Zimbra e instalaram um mecanismo de persistência secundário por meio de um serviço systemd chamado zimlog.service.
Roubo de credenciais e movimento lateral
Segundo a Microsoft, os hackers visaram o serviço centralizado do Zimbra e segredos de autenticação para exfiltração de credenciais, e usaram o material de login para consultas LDAP autenticadas que permitiram recuperar segredos de alto valor. Eles também usaram a identidade SSH existente do Zimbra para acessar outros nós do cluster, usaram callbacks HTTP e HTTPS para validar a execução de comandos e instalaram “um agente de acesso remoto completo, fornecendo acesso interativo a shell, operações bidirecionais de arquivos e proxy SOCKS5”. Usuários do Zimbra Collaboration Suite devem atualizar suas instâncias para a versão 10.1.20 ou posterior, desinstalar o pacote opcional, desabilitar a configuração vulnerável, restringir o acesso SNMP e SMTP e verificar seus ambientes em busca de possível comprometimento.
