Microsoft предупредила, что злоумышленники эксплуатируют критическую уязвимость в Zimbra Collaboration Suite (ZCS), чтобы получать резервные копии почты и данные аутентификации организаций с уязвимыми системами. Уязвимость получила идентификатор CVE-2026-73570: она позволяет удалённо выполнять команды операционной системы без аутентификации. Информация об этом опубликована изданием Ars Technica со ссылкой на предупреждение Microsoft.
Событие важно для всех, кто отвечает за почтовую инфраструктуру: Zimbra — корпоративная платформа, а эксплуатация такой уязвимости ставит под угрозу переписку и учётные данные сотрудников. При этом, по данным Microsoft, атаки не ограничились одной отраслью или регионом.
Что именно позволяет уязвимость
По описанию Microsoft, CVE-2026-73570 даёт неаутентифицированному удалённому атакующему возможность выполнять команды ОС через специально сформированное письмо. Механизм связан с обработкой уведомлений SNMP в ZCS, но срабатывает только при наличии опционального пакета zimbra-snmp и включённых SNMP-уведомлениях.
«Атакующий может отправить специально сформированный SMTP-запрос, который вносит недоверенный ввод в обработку SNMP-уведомлений», — пояснила Microsoft.
Если входные данные недостаточно очищаются, встроенные shell-команды могут выполняться с привилегиями сервисной учётной записи zimbra.
Хронология: патч, раскрытие и сканирования
Мейнтейнер Zimbra Synacor выпустил патч 20 июля, но не раскрывал информацию об уязвимости ещё более трёх недель. По данным Shadowserver Foundation, о которой сообщает Ars Technica, сканирование выявило 274 отдельных экземпляра Zimbra Collaboration Suite, которые были скомпрометированы.
Число серверов с этим ПО менялось: 19 000 на неделе после выхода патча, около 12 000 в последующие недели. Сейчас Shadowserver отслеживает примерно 10 000 экземпляров.
Как действовали атакующие
С 28 июля по 7 августа Microsoft зафиксировала два разных инструмента сканирования, которые искали в интернете уязвимые точки входа. Сначала атакующие проверяли работоспособность эксплойта, отправляя HTTP-запросы и проверки DNS, ICMP и out-of-band идентичности на домены, размещённые на публичных сервисах. Эти пробы позволяли подтвердить, что эксплойт успешно выполняет команды на уязвимых серверах, не компрометируя их по-настоящему.
Затем злоумышленники начали использовать возможность внедрения команд для установки вредоносных полезных нагрузок. По данным Microsoft, после успешной эксплуатации наблюдались:
- развёртывание JSP-веб-шеллов и reverse shell;
- повышение привилегий;
- инструменты постоянного удалённого доступа;
- выполнение кода из памяти;
- доступ к почте и сбор данных аутентификации и почтовых ящиков;
- создание архивов и их последующая передача.
Активность включала как автоматизированную доставку полезных нагрузок, так и ручные операции на скомпрометированных почтовых серверах. Microsoft сообщила, что затронутые организации относятся более чем к одному региону и отрасли, а эксплуатация не ограничивалась одним сектором или географической зоной.
При этом Microsoft отметила, что не располагает средствами проверить, удалось ли атакующим успешно вынести эти данные. Компания также не раскрыла, кто стоял за атаками — государственные акторы или финансово мотивированные преступники.
Что делать администраторам ZCS
Тем, кто отвечает за поддержку ZCS, следует убедиться, что используется версия 10.1.20 или более поздняя. Компания также приводит дополнительные рекомендации по защите систем.
Что это значит
Ситуация показывает, что задержка между выпуском патча и раскрытием уязвимости оставляет окно для атак: часть серверов остаётся уязвимой, а сканирование интернета начинается быстро. Для организаций с Zimbra ключевой шаг — проверить версию и обновить её до 10.1.20 или новее, а также оценить, включены ли SNMP-уведомления и нужен ли пакет zimbra-snmp. Осторожный вывод: без установки патча и проверки конфигурации риск кражи почты и учётных данных сохраняется.
Комментарии · 0
Войдите, чтобы участвовать в обсуждении.