Атака на Zimbra: злоумышленники внедряют веб-шеллы и крадут ключи аутентификации

Специалисты Microsoft Security Research зафиксировали активную эксплуатацию уже устранённой уязвимости в Zimbra Collaboration Suite (ZCS). Речь идёт о CVE-2026-73570 (CVSS 8.9) — уязвимости внедрения команд операционной системы без аутентификации, которая ведёт к удалённому выполнению кода. Она срабатывает, если включены уведомления по протоколу SNMP и установлен опциональный пакет zimbra-snmp.

Атаку можно запустить специально сформированным SMTP-запросом, то есть обычным письмом на открытый сервер Zimbra — без авторизации и участия пользователя. Zimbra закрыла брешь в июле 2026 года в версии 10.1.20.

Что делали злоумышленники

После успешной эксплуатации Microsoft наблюдала развёртывание JSP-веб-шеллов и обратных оболочек, повышение привилегий, установку средств постоянного удалённого доступа и исполнение кода в памяти. Атакующие получали доступ к почте и собирали данные аутентификации и содержимое ящиков, после чего создавали архивы и пытались вывести их наружу. Кто стоит за атаками, пока неизвестно; пострадали организации в нескольких регионах и отраслях, но не каждый узел проходил все стадии цепочки.

О реальной эксплуатации первым сообщил польский CERT Polska в августе 2026 года, порекомендовав проверять журнал «/var/log/zimbra.log» на подозрительные перезапуски служб. Позже CISA включила уязвимость в каталог известных эксплуатируемых уязвимостей, обязав федеральные ведомства США установить исправления до 24 августа. По телеметрии Microsoft активность пришлась на промежуток между выходом патча 20 июля и публичным раскрытием 13 августа.

Цепочка атаки

Сначала два разных сканера проверяли работоспособность инъекции без доставки полезной нагрузки. Затем злоумышленники выполняли команды от имени служебной учётной записи «zimbra», размещали несколько веб-шеллов для надёжности, загружали нагрузки через wget или curl и поднимали интерактивные обратные оболочки. Для закрепления использовались cron, systemd и memfd_create; в ряде случаев атакующие временно открывали запись в публичный каталог и восстанавливали права, чтобы скрыть изменения.

Особый интерес представляли не отдельные пароли, а централизованные секреты: командой «zmlocalconfig -s» извлекались ключи, которые затем применялись для LDAP-запросов к таким атрибутам, как zimbraPreAuthKey, zimbraAuthTokenKey и zimbraTwoFactorAuthSecret. Через штатный SSH-ключ Zimbra велось горизонтальное перемещение по узлам кластера. В одной из кампаний применялись Go-инструменты Zimdown2 и Zimclient2, дающие интерактивный доступ, передачу файлов и SOCKS5-прокси. На одном сервере злоумышленники упаковали резервные копии почты в архив и попытались вывести их через AzCopy в облачное хранилище Azure Blob.

Что делать

Microsoft советует немедленно установить обновления. Если это невозможно — удалить пакет zimbra-snmp, отключить SNMP-уведомления и ограничить доступ по SNMP и SMTP доверенными хостами. Дополнительно рекомендуется сменить секреты аутентификации Zimbra и проверить сервер на остаточные веб-шеллы.

Источник: The Hacker News