Hackers exploram falha no Zimbra para executar comandos remotamente sem autenticação

Uma vulnerabilidade de alta gravidade no Zimbra Collaboration (ZCS) está sendo explorada ativamente por invasores para executar comandos remotamente em servidores vulneráveis sem necessidade de autenticação, segundo um alerta do CERT Polska.

A falha, identificada como CVE-2026-73570, recebeu pontuação 8,9 no CVSS e é classificada como uma vulnerabilidade de injeção de comandos que pode resultar em execução remota de código (RCE).

O problema afeta versões do Zimbra Collaboration anteriores à 10.1.20 em ambientes onde o pacote opcional zimbra-snmp está instalado e as notificações SNMP estão habilitadas.

Segundo a descrição publicada no National Vulnerability Database (NVD), a vulnerabilidade é causada pela sanitização inadequada de dados não confiáveis durante o processamento das notificações SNMP.

Ataque pode começar por uma requisição SMTP

Um invasor não autenticado pode enviar requisições SMTP especialmente preparadas ao servidor vulnerável. A entrada maliciosa pode chegar ao processamento das notificações SNMP e resultar na execução arbitrária de comandos do sistema operacional com os privilégios do usuário Zimbra.

Isso significa que o atacante não precisa possuir previamente credenciais válidas de uma conta do Zimbra para tentar explorar a vulnerabilidade.

A Zimbra corrigiu o problema no mês passado com o lançamento do Zimbra Collaboration 10.1.20. Organizações que utilizam versões anteriores e possuem o zimbra-snmp com notificações SNMP habilitadas devem atualizar os servidores.

CERT Polska confirma exploração ativa

Em um alerta publicado nesta semana, o CERT Polska informou ter identificado tentativas de exploração da CVE-2026-73570 e recomendou que administradores procurem possíveis sinais de comprometimento.

Entre as verificações recomendadas está a análise do arquivo:

/var/log/zimbra.log

Os administradores devem procurar reinicializações suspeitas dos serviços do Zimbra e verificar arquivos criados nos últimos 30 dias nos seguintes diretórios:

/opt/zimbra/jetty/webapps/

/opt/zimbra/jetty_base/webapps/

/tmp/

Arquivos inesperados nesses locais podem ajudar as equipes de segurança a identificar atividades relacionadas à exploração ou etapas posteriores de um comprometimento.

A Cybersecurity and Infrastructure Security Agency (CISA) dos Estados Unidos adicionou a CVE-2026-73570 ao catálogo Known Exploited Vulnerabilities (KEV) em 21 de agosto, confirmando que existem evidências de exploração da vulnerabilidade.

Com a inclusão no catálogo, órgãos civis do Poder Executivo Federal dos Estados Unidos foram obrigados a aplicar as correções até 24 de agosto de 2026.

A entrada no KEV aumenta a prioridade para organizações que ainda operam instalações vulneráveis do Zimbra, principalmente servidores de e-mail expostos à internet.

Servidores Zimbra continuam na mira de hackers

A CVE-2026-73570 é mais um caso recente de vulnerabilidades no Zimbra utilizadas em ataques reais.

No mês passado, o governo dos Estados Unidos divulgou detalhes de uma campanha de phishing atribuída ao grupo ligado à Rússia Laundry Bear, também rastreado como CL-STA-1114, TA488, UNK_PitStop e Void Blizzard.

A operação vinha mirando servidores Zimbra pertencentes a organizações governamentais e comerciais ocidentais desde pelo menos julho de 2025.

Nesse caso, os invasores exploraram a CVE-2025-66376, uma vulnerabilidade de cross-site scripting (XSS) armazenado na interface Classic do Zimbra. A falha foi utilizada para entregar um payload JavaScript chamado ZimReaper, desenvolvido para coletar comunicações por e-mail e outros dados sensíveis.

Com a CVE-2026-73570 agora sob exploração ativa, administradores devem priorizar a atualização para uma versão corrigida e revisar os servidores em busca de indicadores de comprometimento, especialmente quando o pacote zimbra-snmp estiver instalado e as notificações SNMP estiverem habilitadas.