概要
メールサーバー・コラボレーションツールとして世界中で利用されているZimbra Collaboration Suite(ZCS)に存在する重大な脆弱性CVE-2026-73570が、実際の攻撃で悪用されていることが判明した。CVSSスコアは8.9で、未認証の攻撃者が細工したSMTPリクエストを送信するだけで、Zimbraユーザー権限で任意のOSコマンドを実行できる。ポーランドのCERT Polskaが2026年8月17日、積極的な悪用の兆候を確認したと発表し、管理者に対して過去30日間のログを確認するよう呼びかけている。
技術的な詳細
脆弱性の原因は、SNMP通知処理時に信頼できない入力を適切にサニタイズしていないことにある。攻撃者は認証を経ることなく、特別に細工したSMTPリクエストを送りつけるだけで、Zimbraサービスが動作しているユーザー権限のもとで任意のOSコマンドを実行できてしまう。ただし影響を受けるのはオプションパッケージであるzimbra-snmpがインストールされ、かつSNMP通知が有効になっている環境に限られる。
CERT Polskaは侵害の兆候(IoC)として、/var/log/zimbra.logにおける不審なサービス再起動の記録や、/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/ディレクトリ配下での不審なファイル作成を調査するよう推奨している。攻撃者はサーバーを完全に制御下に置いた後、永続化の確立、メールアカウントへのアクセス、認証情報の窃取、さらにはネットワーク内での横展開を行う可能性があるという。
影響範囲とパッチ状況
Zimbraはメールプラットフォームとして世界中で数億人のユーザー、数千の企業、数百の政府機関に利用されている。セキュリティ監視サービスのShadowserverによれば、稼働中のZimbraサーバーは12,100台以上追跡されており、そのうちヨーロッパに4,382台、アジアに4,492台が所在する。
Zimbraセキュリティチームはこの脆弱性に対応したバージョン10.1.20を、悪用が確認されるおよそ1ヶ月前の2026年7月20日にリリース済みだった。しかし本稿執筆時点で、CVE-2026-73570はCISAの既知悪用脆弱性(KEV)カタログには未掲載であり、同カタログには他に18件のZimbra関連脆弱性が既に登録されている。
背景と今後の展望
Zimbraの脆弱性は過去にも国家支援型の攻撃グループによって繰り返し悪用されてきた歴史がある。NATO関連組織やウクライナ政府機関が標的となった事例のほか、直近ではストアド型XSS脆弱性CVE-2025-66376がロシア系脅威アクターによるフィッシングキャンペーンで悪用され、西側諸国の政府機関や民間企業が狙われた例もある。今回の攻撃キャンペーンの実行主体はまだ特定されていないが、過去の傾向からロシアや中国の関与する国家支援型ハッカー、あるいは日和見的なサイバー犯罪者による悪用が疑われている。Zimbraを運用する組織は、バージョン10.1.20以降へのアップデートを直ちに行うとともに、CERT Polskaが示した侵害の兆候をもとにログを点検することが強く推奨される。