Злоумышленники используют уязвимость Zimbra для внедрения веб-шеллов и кражи данных аутентификации
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Злоумышленники использовали уже исправленную уязвимость в Zimbra Collaboration Suite для внедрения веб-шеллов и доступа к почтовым данным, сообщила команда Microsoft Security Research. Уязвимость CVE-2026-73570 позволяет удалённое выполнение кода без аутентификации при включённых SNMP-уведомлениях. Zimbra исправила проблему в июле 2026 года в версии 10.1.20.
Ключевые факты
- CVE-2026-73570 имеет оценку CVSS 8.9 и позволяет неаутентифицированное внедрение команд ОС с последующим удалённым выполнением кода.
- Zimbra исправила уязвимость в июле 2026 года, выпустив версию 10.1.20.
- CISA добавила CVE-2026-73570 в каталог известных эксплуатируемых уязвимостей в августе 2026 года, обязав федеральные агентства устранить проблему до 24 августа 2026 года.
- Атаки наблюдались в период с 20 июля по 13 августа 2026 года, а сканирующие инструменты проверяли путь внедрения с 28 июля по 7 августа 2026 года.
- Злоумышленники развернули JSP-веб-шеллы, обратные оболочки и использовали cron, systemd или memfd_create для постоянного или выполняемого в памяти кода.
Цепочка эксплуатации
Эксплуатация CVE-2026-73570 может быть инициирована специально сформированным SMTP-запросом к открытым серверам Zimbra без аутентификации или взаимодействия с пользователем. Microsoft зафиксировала развёртывание JSP-веб-шеллов и обратных оболочек, повышение привилегий, постоянные инструменты удалённого доступа и выполнение кода в памяти. Злоумышленники выполняли команды от имени учётной записи 'zimbra' и развернули несколько JSP-веб-шеллов в путях приложений Jetty и mailboxd для резервирования. Другие цепочки выполнения использовали cron, systemd или memfd_create для поддержания периодического или выполняемого в памяти кода.
Обнаружение и реагирование
CERT Polska первой сообщила об активной эксплуатации в августе 2026 года, призвав пользователей проверить /var/log/zimbra.log на подозрительные перезапуски служб и просмотреть временные каталоги и каталоги webapps. CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей позже в том же месяце, обязав федеральные агентства применить исправления до 24 августа 2026 года. Microsoft выявила атаки в период с 20 июля по 13 августа 2026 года, при этом два отдельных внеполосных сканирующих инструмента проверяли путь внедрения с 28 июля по 7 августа 2026 года.
3 источника
Время · отставание