Attackers have been exploiting critical Zimbra flaw to steal emails

攻击者利用关键Zimbra漏洞窃取电子邮件 - Ars Technica

网络外壳、根访问权限和数据窃取

攻击者利用关键Zimbra漏洞窃取电子邮件

一封简单的电子邮件即可让攻击者远程注入操作系统命令。

Dan Goodin

–

2026年9月30日 下午4:44

|

5

图片来源：Getty Images

按钮

文本设置

面板

故事文本

大小

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化到导航栏

微软警告称，黑客正在利用Zimbra协作套件中的一个关键漏洞，试图获取易受攻击组织的电子邮件备份和认证凭证。

该漏洞被追踪为CVE-2026-73570，允许攻击者在未经身份验证的情况下远程发出操作系统命令。Zimbra维护者Synacor于7月20日发布了补丁，但在那之后超过三周的时间内未公开该漏洞。专注于安全的Shadowserver基金会上周表示，其扫描发现有274个独立的Zimbra协作套件实例已被入侵。在补丁发布后的第一周，运行该软件的服务器数量从19,000台降至约12,000台，目前Shadowserver正在追踪约10,000个实例。

看，不需要授权

微软周三表示，7月28日至8月7日期间，公司检测到两种不同的扫描工具正在互联网上寻找易受攻击的端点。攻击者首先通过向托管在公共服务上的域发送HTTP请求和DNS、ICMP以及带外身份验证检查来验证其攻击是否有效。这些探测使攻击者能够确认在不实际入侵的情况下，攻击成功在易受攻击的服务器上执行了命令。最终，攻击者开始利用其命令注入能力安装恶意载荷。微软表示：

成功利用后，观察到的活动包括部署JSP网络外壳和反向外壳、权限提升、持久性远程访问工具以及基于内存的执行。威胁行为者还访问了电子邮件并收集了认证和邮箱数据，观察到归档创建和后续传输活动。活动包括对受感染邮件服务器的自动化载荷分发和人工键盘操作。微软观察到受影响的组织分布在多个地区和行业。根据调查的环境，利用攻击并未局限于特定行业或地理区域。

CVE-2026-73570允许没有凭证的远程攻击者通过针对ZCS SNMP通知路径的精心设计的电子邮件运行操作系统命令，但前提是安装了可选的zimbra-snmp软件包并启用了SNMP通知。

微软解释称：“攻击者可以发送一个精心设计的SMTP请求，将不可信输入引入SNMP通知处理中。如果输入未得到充分清理，嵌入的shell命令将以zimbra服务账户的权限执行。”

微软表示，其观察到的攻击者随后安装了WebShell，并利用它们发出命令创建电子邮件备份并收集凭据。该公司表示，目前无法验证攻击者是否成功将这些数据外泄。微软未提供有关攻击者身份的任何细节，也未说明他们是否是国家支持的黑客或以经济利益为动机的犯罪分子。

负责维护ZCS软件的任何人应确保其运行的是10.1.20或更高版本。该公司还提供了其他关于系统安全加固的指导建议。

高级安全编辑

Dan Goodin是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码相关的报道。在工作之余，他喜欢园艺、烹饪以及关注独立音乐场景。Dan目前常驻旧金山。你可以通过

here

在Mastodon上关注他，

在Bluesky上关注他。可通过Signal联系他，联系方式为DanArs.82。

5条评论