概要

Zimbra Collaboration Suite(ZCS)のSNMP通知機能に存在する未認証コマンドインジェクションの脆弱性(CVE-2026-73570、CVSSスコア8.9)が実際に悪用されていることが、Microsoft Threat Intelligenceの調査で明らかになった。オプションパッケージのzimbra-snmpがインストールされ、かつSNMP通知が有効なインターネット公開メールサーバーが標的となっており、攻撃者は特殊に細工したSMTPリクエストを送信するだけで、ユーザー操作なしにzimbraサービスアカウント権限でリモートコード実行を達成できる。Microsoftによれば、侵害を受けた環境ではJSP形式のWebシェルやリバースシェルの展開、権限昇格、永続的なリモートアクセスツールの設置、メモリ上での実行など、一連の高度な攻撃チェーンが観測されている。脆弱性の修正版である10.1.20は2026年7月20日に公開済みだが、Microsoftによれば同日から8月13日の脆弱性公開までの間に未パッチのサーバーへの攻撃活動が確認されている。

脆弱性の仕組みと悪用条件

この脆弱性は、SNMP通知処理が信頼できない入力を適切にサニタイズしないことに起因する。攻撃者はSMTPリクエストにシェルメタキャラクターを埋め込み、swatchdogやsnmptrapの実行パスを経由することで、認証なしにOSコマンドを注入できる。悪用には「zimbra-snmpパッケージの導入」と「SNMP通知の有効化」という2条件が必要だが、これらはオプション機能であるため、全てのZimbra導入環境が対象になるわけではない。しかし条件を満たすサーバーはインターネットから直接到達可能なケースが多く、実際の攻撃では複数のOOB(out-of-band)スキャンツールを用いた偵察・プローブ活動が2026年7月28日から8月7日にかけて確認されており、HTTP・DNS・ICMPのコールバックを使った外部コラボレーターサービス(oast.fun、oast.onlineなど)経由でコマンド実行の成否を検証する手口が使われていた。

多段階の攻撃チェーン

Microsoftが観測した攻撃は、偵察から情報窃取まで複数の段階を経る組織的なキャンペーンの様相を呈している。初期侵入後、攻撃者はJettyのアプリケーションディレクトリやmailboxdのサーブレット作業ディレクトリにJSP形式のWebシェルを設置し、クラスタを構成する他のメールボックスノードにも複製した。続く権限昇格の段階では、Zimbraの正規のsudo許可ヘルパー(zmmailboxdmgrなど)や書き込み可能なログディレクトリ、PAM設定の操作(pam_exec経由)、zmstat-fdヘルパーを悪用してroot権限を取得し、sudoersに「NOPASSWD: ALL」のエントリを追加してパスワードなしのsudo実行を可能にしていた。永続化にはsystemdサービス(正規サービスを装ったタイムスタンプ偽装を含む)、OpenRC、cron、SSHのauthorized_keys、さらにmemfd_createを用いたメモリ上での実行など、複数の手法が並行して使われていた。

認証情報窃取とデータ流出

攻撃者はzmlocalconfig -sや認証済みのldapsearchを駆使し、LDAP・MySQL・Postfix・Amavis向けのZimbraサービス認証情報に加え、アカウント認証に使うzimbraPreAuthKey、セッショントークン署名鍵のzimbraAuthTokenKey、zimbraTwoFactorAuthSecretといった極めて機微な秘密情報を収集した。さらにmailbox、mailbox_metadata、mobile_devices、out_of_officeといったデータベーステーブルをエクスポートし、メールボックス全体のバックアップやSSL証明書・秘密鍵も窃取対象となった。攻撃キットには軽量ダウンローダーのagent2.sh、Go言語製インストーラーのzimdown2、対話型シェルやファイル操作、SOCKS5プロキシ機能を備えたフル機能RATのzimclient2、Zimbra特化の窃取ツールzimbra-exfilが含まれ、C2通信にはHTTP/HTTPS、DNSラベル、OpenSSLベースの暗号化リバースシェルなど複数のチャネルが使われた。窃取したデータをAzure Blobストレージへ転送しようとする試みも確認されている。

対策と今後の展望

本脆弱性は既にCISAのKnown Exploited Vulnerabilities(KEV)カタログに登録され、連邦機関には2026年8月24日までの対応が義務付けられた。Microsoftは、Zimbraを10.1.20以降へ直ちにアップグレードすることを最優先の対策として推奨し、やむを得ず旧バージョンを使い続ける場合はzimbra-snmpパッケージのアンインストール、SNMP通知の無効化、SNMP/SMTPアクセスの信頼できるホストへの制限を求めている。既に侵害が疑われる環境では、zimbraPreAuthKeyをはじめとする全ての認証シークレットのローテーション、systemdユニットやPAM設定・sudoersの異常検査、複数のZimbraノードにまたがるJSPウェブシェルの捜索が不可欠だとしている。Microsoft Defenderは本攻撃パターンに対応する検出シグネチャ(「Exploit:Linux/SnmpTrapCmdInject.A」や「HackTool:Linux/ZimbraPLE.A」など)や7種類のAdvanced Huntingクエリを提供しており、署名一致だけに頼らず振る舞いベースの調査を組み合わせることが、同種の侵害の早期発見につながるとみられる。