Zimbra CVE-2026-73570 vor Offenlegung ausgenutzt
Angreifer haben eine schwerwiegende Command-Injection-Lücke in der Zimbra Collaboration Suite (ZCS) bereits in den Wochen nach Erscheinen eines Fixes ausgenutzt, aber noch bevor der Fehler öffentlich bekannt wurde. Das berichtet Microsoft.
Die Schwachstelle mit der Kennung CVE-2026-73570 hat einen CVSS-Wert von 8,9. Sie betrifft ZCS-Versionen vor 10.1.20 und erlaubt es Angreifern ohne Authentifizierung, auf verwundbaren Mailservern aus der Ferne Code auszuführen.
So funktioniert die Lücke
Das Problem liegt darin, wie ZCS SNMP-Benachrichtigungen verarbeitet. SNMP (Simple Network Management Protocol) wird häufig zur Überwachung und Verwaltung von Netzwerkgeräten und -diensten eingesetzt. In den betroffenen Versionen werden nicht vertrauenswürdige Eingaben, die bei diesen Benachrichtigungen verarbeitet werden, nicht ausreichend bereinigt. Das öffnet einer Einschleusung von Betriebssystembefehlen Tür und Tor.