美CISA限时3天修补Zimbra高危漏洞攻击已在利用|cisa|zimbra|安全漏洞|服务器|漏洞攻击|黑客

美国网络安全与基础设施安全局（CISA）近日发布紧急指令，要求联邦机构在三天内修复Zimbra协作套件（ZCS）中一个已被积极利用的安全漏洞。该漏洞编号为CVE-2026-73570，存在于Zimbra的SNMP监控组件中，攻击者可在未认证的情况下实现远程代码执行。

Zimbra安全团队已于7月20日发布的10.1.20版本中修复了这一漏洞。漏洞成因在于SNMP通知处理过程中对不可信输入的清理不当，未认证攻击者可通过发送特制的SMTP请求，以Zimbra用户身份执行任意操作系统命令。值得注意的是，该漏洞的利用前提是目标系统已启用SNMP通知功能。

CISA的警告源于波兰计算机应急响应团队（CERT Polska）上周一首次将该漏洞标记为野外定向攻击目标。上周五，CISA确认了CERT Polska的警报，将该漏洞纳入其已知被利用漏洞（KEV）目录，并责令联邦民事行政部门（FCEB）机构在8月24日前完成系统加固。

攻击迹象与排查建议

尽管CISA未透露正在进行的攻击细节，但波兰CERT团队建议安全团队检查日志中是否存在可疑活动，例如Zimbra服务意外重启，以及过去30天内由zimbra用户在/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/和/tmp/目录下创建的文件。

安全监控机构Shadowserver追踪到互联网上暴露的Zimbra服务器超过12,000台，但目前尚不清楚其中有多少是蜜罐或已针对该漏洞完成加固。

Zimbra成国家级攻击者重点目标

ZCS是广泛使用的邮件与协作套件，全球数亿用户及数百个政府机构、数千家企业依赖其运行。近年来，Zimbra安全问题频繁成为野外攻击目标，并被用于窃取易受攻击邮件服务器上的敏感数据。

就在今年3月，Seqrite Labs研究人员披露，与俄罗斯军事情报机构有关联的国家支持型威胁组织APT28，利用一个存储型跨站脚本（XSS）漏洞攻击乌克兰政府的ZCS服务器。2024年10月，美英网络机构警告称，与俄罗斯对外情报局有关联的APT29黑客组织（追踪代号为Midnight Blizzard和Cozy Bear）正利用先前曾被用于窃取邮件账户凭据的漏洞，针对Zimbra服务器发起攻击。

俄罗斯Winter Vivern网络间谍组织也曾滥用反射型跨站脚本（XSS）漏洞，通过Zimbra网络邮件门户窃取北约相关个人和组织的电子邮件。

事件时间线梳理