Zimbra 邮件服务器中的一个漏洞在 7 月 20 日补丁发布后不久被攻击，微软表示。该漏洞的存在直到三周后的 8 月 13 日才被披露。在这两次事件之间，攻击发生了，微软指出。此前，The Shadowserver Foundation 基于自身研究报告称，全球约有四百台 Zimbra 邮件服务器被黑客入侵。
Zimbra 的 SNMP（简单网络管理协议）监控中的一个漏洞（CVE-2026-73570）使得在邮件服务器上进行命令注入成为可能。通过 SNMP，可以远程监控服务器等网络设备。Zimbra 在处理 SNMP 通知时对不受信任的输入处理不当。未经身份验证的攻击者可以通过发送特制的 SMTP 请求，在 Zimbra 邮件服务器上执行任意系统命令。
要利用该漏洞，必须安装 zimbra-snmp 包并启用 SNMP 通知，这并不是默认设置。在攻击中，攻击者安装了 webshell，以保持对邮件服务器的访问并执行进一步的攻击。包括各种凭证和身份验证密钥在内的许多信息在被黑的服务器上被盗取。攻击者还窃取了邮件服务器上的所有邮箱。
此外，攻击者采取了各种措施以保持访问，包括添加 SSH 授权密钥、shell 启动文件、本地账户、OpenRC 和 systemd 服务。微软没有透露被黑的 Zimbra 服务器的数量，但表示不同领域和地区的组织均受到影响。