Uma falha no Zimbra identificada como CVE-2026-73570, com nota 8.9 na escala CVSS, vem sendo explorada para instalar web shells e roubar os segredos que sustentam a autenticação do servidor de e-mail. A exploração não exige credencial nem qualquer ação do usuário.
O problema está nas notificações SNMP e atinge apenas instalações com o pacote opcional zimbra-snmp. Nelas, uma requisição SMTP forjada, ou seja, um e-mail, basta para disparar a execução de comandos no sistema operacional.
Com o acesso, os invasores plantam web shells em JSP nos caminhos de aplicação do Jetty e do mailboxd, e abrem shells reversos por conexões cifradas com OpenSSL.
O alvo seguinte é o arquivo de configuração local, em /opt/zimbra/conf/localconfig.xml, de onde saem as credenciais da conta de serviço do Zimbra.
A colheita inclui as chaves que sustentam o login: a zimbraPreAuthKey, usada na pré-autenticação, a zimbraAuthTokenKey, que assina os tokens de sessão, e a zimbraTwoFactorAuthSecret, do segundo fator. Também levam as credenciais de conexão ao MySQL e ao LDAP.
A correção saiu na versão 10.1.20, publicada em 20 de julho. O CERT Polska reportou a atividade em agosto, a Microsoft documentou exploração entre 20 de julho e 13 de agosto, e a CISA incluiu a falha no catálogo de vulnerabilidades exploradas, com prazo de 24 de agosto para as agências federais americanas.
Atualizar não encerra o caso. As recomendações incluem desinstalar o pacote zimbra-snmp, desativar as notificações, restringir o acesso a SNMP e SMTP, trocar todos os segredos de autenticação e procurar web shells deixados para trás. A autoria dos ataques não foi determinada.
