黑客一直在利用 Zimbra 协作套件中的一个关键漏洞，试图获取易受攻击组织的电子邮件备份和身份验证凭据，微软警告称。
该漏洞被追踪为 CVE-2026-73570，允许攻击者在没有身份验证的情况下远程发出操作系统命令。Zimbra 的维护者 Synacor 于 7 月 20 日发布了补丁，但在此之后超过三周才披露该漏洞。专注于安全的 Shadowserver 基金会上周表示，其扫描发现 274 个独立的 Zimbra 协作套件实例已被攻陷。运行该软件的服务器数量在补丁发布后的第一周从 19,000 个波动到随后几周的约 12,000 个。目前，Shadowserver 正在跟踪约 10,000 个实例。
看，妈妈，没有授权
微软周三表示，从 7 月 28 日到 8 月 7 日，该公司检测到两种不同的扫描工具在互联网上探测易受攻击的端点。攻击者首先通过向托管在公共服务上的域发送 HTTP 请求、DNS、ICMP 和带外身份检查来验证其利用是否有效。这些探测使攻击者能够确认该利用成功地在易受攻击的服务器上执行命令，而实际上并未妥协它们。最终，攻击者开始利用其命令注入能力安装恶意负载。微软写道：
在成功利用后，观察到的活动包括 JSP 网络外壳和反向外壳的部署、特权提升、持久远程访问工具和基于内存的执行。威胁行为者还访问了电子邮件并收集了身份验证和邮箱数据，观察到归档创建和随后的传输活动。该活动包括自动负载交付和对被攻陷邮件服务器的手动操作。微软观察到受影响的组织分布在多个地区和行业。根据调查的环境，利用并不限于单一行业或地理区域。
CVE-2026-73570 允许没有凭据的远程攻击者通过针对 ZCS SNMP 通知路径的特制电子邮件运行操作系统命令，但仅在可选的 zimbra-snmp 包到位且启用了 SNMP 通知时。