Уязвимость в Zimbra-mailservers была использована в атаках вскоре после выхода патча 20 июля, сообщает Microsoft. Существование уязвимости было объявлено только через три недели, 13 августа. В период между этими двумя событиями произошли атаки, утверждает Microsoft. Ранее Фонд Shadowserver на основе собственного исследования сообщил, что по всему миру было взломано около четырехсот Zimbra-mailservers.
Уязвимость в мониторинге SNMP (Simple Network Management Protocol) Zimbra (CVE-2026-73570) позволяет выполнять командную инъекцию на почтовом сервере. С помощью SNMP можно удаленно мониторить сетевые устройства, такие как серверы. Zimbra не корректно обрабатывает ненадежный ввод при обработке уведомлений SNMP. Неаутентифицированный злоумышленник может отправить специально подготовленные SMTP-запросы и выполнить произвольные системные команды на Zimbra-mailserver.
Условием для эксплуатации является установка пакета zimbra-snmp и включенные уведомления SNMP, что не является стандартным. Во время атак злоумышленники устанавливали веб-оболочки для сохранения доступа к почтовому серверу и проведения дальнейших атак. В частности, были украдены различные учетные данные и ключи аутентификации с взломанных серверов. Также злоумышленники получили доступ ко всем почтовым ящикам на почтовых серверах.
Кроме того, злоумышленники предприняли различные меры для сохранения доступа, включая добавление авторизованных SSH-ключей, файлов запуска оболочки, локальных учетных записей, служб OpenRC и systemd. Microsoft не указывает количество взломанных Zimbra-серверов, но сообщает, что организации из различных секторов и регионов были затронуты.