Aktuell warnt CERT Polska vor einer Sicherheitslücke in Zimbra Collaboration (ZCS), die inzwischen in der Praxis ausgenutzt wird. Nachdem der Fehler behoben wurde, sehen Sicherheitsstellen dennoch weiterhin Angriffe „in the wild“ – ein deutliches Signal, dass betroffene Systeme zeitnah aktualisiert und kontrolliert werden sollten.
Im Fokus steht die Zimbra SNMP Schwachstelle mit der Kennung CVE-2026-73570. Sie kann – unter bestimmten Voraussetzungen – zu einer unauthentifizierten Remote Code Execution (RCE) führen. Im Folgenden erklären wir, worum es geht, welche Bedingungen relevant sind und wie Sie die wichtigsten Spuren in Ihren Systemen prüfen.
Worum es bei der Zimbra SNMP Schwachstelle geht
Der konkrete Fehler ist als Command-Injection beschrieben und weist eine hohe Wirksamkeit auf. In der NIST National Vulnerability Database wird eine Einstufung mit einem CVSS-Wert von 8.9 genannt. Der Kern des Problems liegt in der Verarbeitung von SNMP-Benachrichtigungen: Dabei wird nicht vertrauenswürdige Eingabe nicht ausreichend bereinigt.
Dadurch kann ein Angreifer ohne Authentifizierung gezielt Anfragen senden, die eine Ausführung von Betriebssystem-Kommandos auslösen. Diese Kommandos können im Kontext des Zimbra-Benutzers laufen – also mit den Rechten, die der Zimbra-Dienst typischerweise besitzt.
Welche Voraussetzungen begünstigen die Ausnutzung?
Die Schwachstelle betrifft Zimbra Collaboration (ZCS) vor Version 10.1.20, wenn das optionale zimbra-snmp-Paket installiert ist und SNMP-Notifications aktiviert sind.
Das ist besonders wichtig für die Priorisierung: Nicht jedes Zimbra-System ist automatisch betroffen. Entscheidend sind vielmehr die Kombination aus betroffener Version und dem aktivierten SNMP-Benachrichtigungsmechanismus.
Wenn beide Punkte erfüllt sind, ist laut Beschreibung eine unauthentifizierte Ausnutzung möglich. Das senkt die Einstiegshürde für Angreifer erheblich, weil keine gültigen Zugangsdaten benötigt werden.
Update ist der zentrale Schritt: Version 10.1.20
Zimbra hat die Sicherheitslücke bereits behoben. Laut Meldung erfolgte die Korrektur im Zuge eines Updates, das im letzten Monat veröffentlicht wurde: Die Abhilfe ist in Version 10.1.20 enthalten.
Wenn Ihr System noch vor diesem Versionsstand läuft, sollten Sie das Upgrade als Priorität mit hoher Dringlichkeit behandeln. Selbst wenn Sie möglicherweise nicht sicher sind, ob SNMP-Benachrichtigungen aktiv sind, schafft das Update eine grundlegende Schutzschicht.
Aktive Ausnutzung: Welche Hinweise CERT Polska nennt
CERT Polska hat in einem Bulletin auf anhaltende Angriffsversuche hingewiesen und Nutzer zur Überprüfung der Logs auf verdächtige Aktivitäten aufgefordert. Dabei geht es nicht nur um einmalige Ereignisse, sondern um klare Muster, die auf Manipulation oder wiederholte Versuche schließen lassen.
Besonders relevant ist die Prüfung der Datei /var/log/zimbra.log auf ungewöhnliche Zimbra-Service-Neustarts. Solche Neustarts können ein Indikator für erfolgreiche Ausnutzung oder für das Nachziehen von Änderungen nach einem Angriff sein.
Zusätzlich sollten Sie Dateien kontrollieren, die in den folgenden Verzeichnissen innerhalb der letzten 30 Tage neu erstellt wurden:
- /opt/zimbra/jetty/webapps/
- /opt/zimbra/jetty_base/webapps/
- /tmp/
Gerade die genannten Webapp-Pfade deuten darauf hin, dass Angreifer möglicherweise Komponenten platzieren oder Skripte nachladen. Das temporäre Verzeichnis /tmp/ wird häufig für Zwischenabläufe genutzt und ist daher ebenfalls ein typischer Ort für unerwünschte Artefakte.
Warum Zimbra Angriffsflächen in der Vergangenheit häufig getroffen hat
Die Meldung reiht sich in eine breitere Entwicklung ein: Zimbra-Schwachstellen waren in der Vergangenheit wiederholt ein Ziel für Angreifer. Das zeigt, dass Mail- und Kollaborationsumgebungen eine besonders attraktive Angriffsoberfläche darstellen, weil sie eng mit Kommunikation und Unternehmensprozessen verknüpft sind.
Im vergangenen Monat wurde zudem von einer Kampagne berichtet, die sich auf Zimbra Mail-Server konzentrierte. Dabei handelte es sich um eine Phishing-Operation, die einem durch Russland verknüpften Akteurscluster zugeschrieben wird (unter anderem bekannt als Laundry Bear). In der Untersuchung wurde beschrieben, dass zumindest seit Juli 2025 Zielsysteme aus westlichen Regierungs- und kommerziellen Organisationen ins Visier genommen wurden.
Laut den verfügbaren Angaben wurde in dieser Kampagne die Schwachstelle CVE-2025-66376 verwendet – eine Stored Cross-Site Scripting-Lücke in der Classic UI von Zimbra. Ziel war es, eine schädliche JavaScript-Payload mit dem Namen ZimReaper bereitzustellen, um E-Mail-Inhalte und andere sensible Informationen abzugreifen.
Praktische Checkliste für Ihr Incident-Handling
Wenn Sie die Zimbra SNMP Schwachstelle für Ihr Umfeld einordnen möchten, helfen klare Schritte. Beginnen Sie mit dem Status Ihrer Version und der Aktivierung von SNMP-Benachrichtigungen.
- Version prüfen: Läuft Ihr System noch vor 10.1.20? Dann planen Sie das Upgrade zeitnah ein.
- SNMP-Bausteine prüfen: Ist das optionale zimbra-snmp-Paket installiert und sind SNMP-Notifications aktiv?
- Logs auswerten: Kontrollieren Sie /var/log/zimbra.log auf verdächtige Neustarts oder auffällige Ereignisse.
- Filesystem-Kontrolle: Überprüfen Sie die Verzeichnisse /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ und /tmp/ auf neue Dateien der letzten 30 Tage.
Auch wenn Sie nicht sicher sind, ob SNMP genutzt wird, lohnt sich eine schnelle Bestandsaufnahme. Gerade bei kritischen Kommunikationssystemen ist es besser, früh zu reagieren als später aufwendige Nacharbeiten zu starten.
Fazit: Schnelles Patchen und gezielte Log-Prüfung
Die Situation um CVE-2026-73570 unterstreicht, wie wichtig konsequentes Schwachstellenmanagement ist. Die Zimbra SNMP Schwachstelle kann vor Version 10.1.20 und bei aktivem SNMP-Notification-Setup zu einer unauthentifizierten Remote Code Execution führen.
Setzen Sie deshalb zuerst auf das Update auf 10.1.20, und prüfen Sie anschließend die von CERT Polska genannten Indikatoren: /var/log/zimbra.log sowie die genannten Verzeichnisse auf neue Artefakte. So erhöhen Sie die Chance, aktive oder vergangene Ausnutzung früh zu erkennen und Schäden zu begrenzen.
Quelle: https://thehackernews.com/2026/08/attackers-exploit-zimbra-snmp-flaw-for.html
