根据微软安全研究团队的发现，威胁行为者已利用 Zimbra Collaboration Suite (ZCS) 中一个现已修复的安全漏洞，部署 Web Shell 并访问邮箱数据。
该攻击利用了 CVE-2026-73570（CVSS 分数：8.9），这是一个未认证的操作系统命令注入漏洞，当启用简单网络管理协议（SNMP）通知并安装可选的 zimbra-snmp 包时，可能导致远程代码执行。
CVE-2026-73570 的利用可以通过一个特别构造的 SMTP 请求触发（即，针对暴露的 Zimbra 服务器的电子邮件，无需认证或用户交互）。该漏洞于 2026 年 7 月被 Zimbra 修复，发布了版本 10.1.20。
“在成功利用后，观察到的活动包括部署 JSP Web Shell 和反向 Shell、特权升级、持久远程访问工具和基于内存的执行，”这家科技巨头表示。“威胁行为者还访问了电子邮件并收集了认证和邮箱数据，观察到创建归档和随后的传输活动。”
微软表示，它观察到受影响的组织分布在多个地区和行业，尽管并非每个主机都表现出攻击链的每个阶段。目前尚不清楚攻击背后是谁。
波兰计算机应急响应小组（CERT Polska）在 2026 年 8 月首次强调了 CVE-2026-73570 的主动利用，呼吁用户检查 "/var/log/zimbra.log" 文件以寻找可疑的 Zimbra 服务重启，并查看在临时和 Zimbra "webapps" 目录中创建的文件。
同月稍晚，美国网络安全和基础设施安全局（CISA）正式将该漏洞添加到其已知利用漏洞（KEV）目录中，要求联邦机构在 2026 年 8 月 24 日之前应用修复。
根据遥测数据，微软记录的攻击活动是在 2026 年 7 月 20 日 Zimbra 版本 10.1.20 发布和 2026 年 8 月 13 日漏洞公开披露之间的“时间间隔”内识别的。
具体而言，在 2026 年 7 月 28 日至 8 月 7 日之间，发现了两个不同的带外扫描工具在探测注入路径，以验证命令执行而不交付后续有效载荷。
攻击者随后利用这一初始访问路径以 "zimbra" 服务帐户身份运行命令，并在 Jetty 和 mailboxd 应用路径中部署多个 JSP Web Shell 以实现冗余，同时通过 wget 或 curl 直接下载和执行恶意有效载荷，并建立交互式反向 Shell。
“其他执行链使用 cron、systemd 或 memfd_create 来维持定期或基于内存的执行，”微软表示。“在某些情况下，攻击者暂时启用了对公共目录的写入访问，以部署 Web Shell，然后恢复目录权限，限制了在基本权限检查期间对更改的可见性。”
威胁行为者采取的一些后续步骤如下 -
使用 zmprov 映射 Zimbra 部署，以识别邮箱和 MTA 节点进行环境发现。
检查 Zimbra SSH 身份的存在，以可能促进在 Zimbra 主机之间的移动。
使用特权升级技术，通过修改 "/etc/pam.d/sudo" 配置文件，授予 "zimbra" 服务帐户无限制和无密码的 sudo 访问权限。
创建名为 "zimlog.service" 的 systemd 服务，作为第二个持久性机制，在系统启动时建立执行。
通过在服务器上使用 "zmlocalconfig -s" 命令，针对 Zimbra 的集中服务和认证秘密，而不是单独获取邮箱密码。恢复的凭据随后用于经过身份验证的 LDAP 查询，以检索高价值属性，如 zimbraPreAuthKey、zimbraAuthTokenKey 和 zimbraTwoFactorAuthSecret。
利用 Zimbra 在 "/opt/zimbra/.ssh/zimbra_identity" 的现有 SSH 身份，以便在集群中的其他受信任节点之间进行横向移动。使用 Rsync 在节点之间传输 JSP Web Shell 和其他辅助脚本。
利用 OpenSSL 加密的反向 Shell 连接到攻击者控制的基础设施，以进行命令执行、有效载荷检索和命令输出的外泄。
在至少一个活动中，攻击者被发现使用轻量级 Shell 下载器获取 Zimdown2 Go 二进制文件，该文件随后作为 Zimclient2 远程访问代理的安装程序。Zimclient2 提供交互式 Shell 访问、双向文件操作和 SOCKS5 代理。
“它支持 WebSocket、TLS 和原始 TCP 传输，提供弹性的远程访问和通过被攻陷的 Zimbra 服务器进行潜在的网络转移，”微软表示。“证据识别出与有效载荷相关的多个持久性机制，包括 systemd 服务、OpenRC、cron、Shell 启动文件、SSH 授权密钥和本地帐户创建。”
与该活动相关的还有 Zimbra 特定有效载荷的部署。这包括一个基于 Go 的可执行文件，试图从 "/opt/zimbra/conf/localconfig.xml" 中提取 Zimbra 服务帐户凭据，并使用这些值构建 MySQL 和 LDAP 连接字符串，以连接到 Zimbra MySQL 实例并导出以下数据库表的内容 -
mailbox
mailbox_metadata
mobile_devices
out_of_office
zimbra.* 命名空间中的所有表
该植入物还收集和暂存凭据、证书、LDAP 密码、邮件规则和配置文档。收集的文件被压缩成 ZIP 归档，以便随后传输到远程端点。
“在一台被攻陷的 Zimbra 服务器上，攻击者将最近的邮箱备份内容归档到 /opt/zimbra/final.tar.gz，”微软表示。“攻击者随后从 hxxps://aka[.]ms/downloadazcopy-v10-linux 下载 AzCopy，并使用操作员提供的 Azure Blob SAS URL 调用它，目标是 wsweb03[.]blob[.]core[.]windows[.]net/log/windows.log。”
“这一活动