Microsoft Threat Intelligence обнаружила эксплуатацию CVE-2026-73570 в Zimbra Collaboration Suite. Уязвимость позволяет выполнять команды операционной системы без аутентификации через путь обработки SNMP-уведомлений.
Условием успешной атаки является наличие на сервере, доступном из интернета, установленного дополнительного пакета zimbra-snmp и включённых соответствующих SNMP-уведомлений. Утверждение, что любой сервер Zimbra уязвим одинаково независимо от конфигурации, неверно — риск зависит от наличия пакета и настроек.
По данным Microsoft, после эксплуатации фиксировались веб-шеллы, средства удалённого доступа, повышение привилегий и работа с почтовыми данными. Исследователи также описали создание архивов и передачу данных. Схема в отчёте объединяет наблюдения по нескольким инцидентам; один сервер не обязательно прошёл все показанные стадии.
Выпуск Zimbra 10.1.20 содержит соответствующее исправление. Администраторам следует проверить установленную версию, конфигурацию SNMP и рекомендации производителя и применить обновление. Установка патча устраняет известный путь эксплуатации, но не доказывает, что сервер не был скомпрометирован до установки исправления.
Microsoft наблюдала пострадавшие организации в разных регионах и отраслях; в отчёте не приписывается вся совокупность атак одной конкретной группировке.