Хакеры эксплуатируют критическую уязвимость в Zimbra Collaboration Suite в попытке получить резервные копии электронной почты и учетные данные для аутентификации у уязвимых организаций, предупреждает Microsoft.
Уязвимость, отслеживаемая как CVE-2026-73570, позволяет злоумышленникам удаленно выполнять команды операционной системы без аутентификации. Поддерживающая Zimbra компания Synacor выпустила патч 20 июля, но не раскрыла информацию об уязвимости более чем через три недели после этого. Фонд Shadowserver, ориентированный на безопасность, сообщил на прошлой неделе, что в ходе своих сканирований обнаружил 274 отдельных случая компрометации Zimbra Collaboration Suite. Количество серверов, работающих с этим программным обеспечением, колебалось от 19,000 в неделю после выпуска патча до около 12,000 в последующие недели. В настоящее время Shadowserver отслеживает около 10,000 инстансов.
Смотрите, мама, без авторизации
С 28 июля по 7 августа, как сообщила Microsoft в среду, компания обнаружила два различных инструмента сканирования, исследующих Интернет на предмет уязвимых конечных точек. Злоумышленники сначала проверили, работает ли их эксплойт, отправляя HTTP-запросы и DNS, ICMP и внеполосные проверки идентичности на домены, размещенные на публичных сервисах. Эти проверки позволили злоумышленникам подтвердить, что эксплойт успешно выполнял команды на уязвимых серверах, не компрометируя их фактически. В конечном итоге злоумышленники начали использовать свои возможности инъекции команд для установки вредоносных нагрузок. Microsoft написала:
После успешной эксплуатации наблюдаемая активность включала развертывание JSP веб-оболочек и обратных оболочек, повышение привилегий, постоянные инструменты удаленного доступа и выполнение с использованием памяти. Угрозы также получили доступ к электронной почте и собрали данные аутентификации и почтовых ящиков, с наблюдением за созданием архивов и последующей передачей данных. Данная активность включала как автоматическую доставку вредоносных нагрузок, так и операции с ручным управлением на компрометированных почтовых серверах. Microsoft наблюдала за затронутыми организациями в более чем одном регионе и отрасли. На основе исследованных окружений эксплуатация не ограничивалась одним сектором или географической областью.
CVE-2026-73570 позволяет удаленным злоумышленникам без учетных данных выполнять команды операционной системы через специально подготовленное электронное письмо, которое нацелено на путь уведомления SNMP ZCS, но только когда установлен необязательный пакет zimbra-snmp и включены уведомления SNMP.