Уязвимость Zimbra CVE-2026-73570 позволила похитить ключи аутентификации платформы

4 октября 2026 г. в 10:362 мин

Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.

Злоумышленники, эксплуатирующие уязвимость Zimbra CVE-2026-73570, похитили ключ zimbraAuthTokenKey, подписывающий сессионные токены пользователей на всей платформе, что обеспечивает постоянную компрометацию учётных записей, сохраняющуюся даже после смены паролей. Уязвимость с оценкой CVSS 8,9 позволяет неаутентифицированное внедрение команд ОС через SNMP-уведомления и затрагивает все версии до 10.1.20. Microsoft зафиксировала сканирующие инструменты, проверявшие точку внедрения с 28 июля по 7 августа 2026 года, до публичного раскрытия 13 августа.

Ключевые факты

CVE-2026-73570 имеет оценку CVSS 8,9 и является уязвимостью неаутентифицированного внедрения команд ОС в пути SNMP-уведомлений Zimbra Collaboration Suite.
Уязвимость затрагивает все версии Zimbra до 10.1.20, выпущенной 20 июля 2026 года.
Злоумышленники похитили zimbraPreAuthKey, zimbraAuthTokenKey и zimbraTwoFactorAuthSecret, что позволяет генерировать действительные сессионные токены для любой учётной записи.
CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей 21 августа 2026 года, установив федеральный срок устранения 24 августа.
Microsoft зафиксировала внеполосные сканирующие инструменты, проверявшие точку внедрения с 28 июля по 7 августа 2026 года.

Компрометация уровня идентификации

Похищенные секреты аутентификации — zimbraPreAuthKey, zimbraAuthTokenKey и zimbraTwoFactorAuthSecret — превратили эксплуатацию CVE-2026-73570 из локальной утечки почты в постоянную компрометацию идентификационных данных всей платформы. Получив эти ключи, злоумышленники могут генерировать действительные сессионные токены и предварительно аутентифицированные URL-адреса входа для любой учётной записи, фактически обходя традиционную защиту на основе учётных данных и сохраняя постоянный доступ ко всей среде Zimbra. Уязвимость с оценкой CVSS 8,9 представляет собой неаутентифицированное внедрение команд ОС в пути SNMP-уведомлений Zimbra Collaboration Suite. Она не требует взаимодействия с пользователем или предварительной аутентификации. Злоумышленник может инициировать выполнение команд оболочки от имени сервисной учётной записи zimbra, отправив специально сформированное SMTP-письмо, при условии установки необязательного пакета zimbra-snmp и включения SNMP-уведомлений. Уязвимость затрагивает все версии до 10.1.20, выпущенной 20 июля 2026 года.

Хронология эксплуатации

Хронология эксплуатации выявляет критический разрыв между доступностью исправления и осведомлённостью общественности. Хотя исправление вышло 20 июля, Microsoft зафиксировала внеполосные сканирующие инструменты, проверявшие точку внедрения с 28 июля по 7 августа. Публичное раскрытие произошло только 13 августа. К 17 августа CERT Polska отметила активную эксплуатацию, а CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей 21 августа, установив федеральный срок устранения 24 августа.

Цепочка атаки

Операция была многоэтапной. После первоначального доступа через путь SNMP-уведомлений злоумышленники провели разведку с использованием определённых User-Agent для идентификации среды. Они развернули JSP-веб-шеллы в путях Jetty и mailboxd с копиями на peer-узлах для резервирования, установили обратные оболочки и повысили привилегии до root, злоупотребив легитимными sudo-авторизованными помощниками Zimbra и конфигурацией PAM. Постоянство обеспечивалось через службу systemd, замаскированную под компонент логирования. Затем злоумышленники использовали SSH-идентификатор Zimbra для горизонтального перемещения по кластеру, развернув кастомное вредоносное ПО — установщик zimdown2 и агент удалённого доступа zimclient2 — перед подготовкой данных к эксфильтрации в хранилище Azure Blob.

Что открывают ключи

Наиболее разрушительная фаза включала систематический сбор централизованных сервисных секретов. Как говорится в отчёте Microsoft Threat Intelligence: «Злоумышленник нацелился на централизованные сервисные и аутентификационные секреты Zimbra, а не на пароли отдельных почтовых ящиков». Запросив каталог LDAP, злоумышленники получили zimbraPreAuthKey, который позволяет создавать предварительно аутентифицированные URL-адреса входа для любой учётной записи.