Zimbra Command-Injection-Schwachstelle aktiv ausgenutzt

Eine Zimbra Command-Injection-Schwachstelle wird aktiv gegen On-Premises-Mailserver ausgenutzt, und die CISA-Bundesfrist vom 24. August ist bereits abgelaufen. Erfasst als CVE-2026-73570, erlaubt die Luecke einem nicht authentifizierten Angreifer, beliebige Shell-Befehle auf jeder ungepatchten Zimbra-Collaboration-Suite-Instanz mit aktivierten SNMP-Benachrichtigungen auszufuehren — eine Konfiguration, die viele Administratoren nie bewusst ueberprueft haben.

Was ist passiert

Zimbra behob diese Zimbra Command-Injection-Schwachstelle am 20. Juli 2026 in Version 10.1.20, doch die Ausnutzung wird jetzt gegen Server bestaetigt, die das Update nie eingespielt haben. Polens CERT meldete am 17. August erstmals aktive Angriffe in freier Wildbahn. CISA nahm CVE-2026-73570 am 21. August in den Known-Exploited-Vulnerabilities-Katalog auf und setzte den 24. August als Bundesfrist fuer zivile Behoerden — ein Datum, das zum Zeitpunkt der Veroeffentlichung bereits verstrichen ist, und eine Fuenf-Wochen-Luecke zwischen Patch-Veroeffentlichung und Frist.

Die Schwachstelle (CWE-78, OS Command Injection) liegt in Zimbras SNMP-Benachrichtigungs-Pipeline. Ein nicht authentifizierter Angreifer sendet eine speziell praeparierte SMTP-Anfrage, die eine unzureichende Eingabebereinigung ausnutzt, um beliebige Shell-Befehle als Zimbra-Dienstkonto auszufuehren. Betroffen sind nur Installationen mit installiertem optionalem Paket zimbra-snmp, aktiviertem snmp_notify und laufendem swatchdog-Dienst — swatchdog laeuft standardmaessig, weshalb die tatsaechliche Exposition breiter ist, als „optionales Paket“ vermuten laesst. Gemeldeter CVSS-Wert: 8.9.

Erkennungshinweis der Forscher, die die Ausnutzung bestaetigten: /var/log/zimbra.log auf unerklaerte Dienst-Statuswechsel pruefen (gestoppt zu laufend oder umgekehrt) — ein Signal, dass der verwundbare Benachrichtigungspfad ohne legitime administrative Aktion ausgeloest wurde.

Warum das wichtig ist

Zimbra ist im deutschen Mittelstand und im oeffentlichen Sektor weit verbreitet — gezielt als On-Premises-Alternative zu Exchange oder Microsoft 365 eingesetzt, gerade von der Gruppe, die am wenigsten wahrscheinlich einen schnellen, zentral erzwungenen Patch-Zyklus hat und die bewusst die Kontrolle ueber die eigene Mail-Infrastruktur behalten wollte. Eine nicht authentifizierte RCE auf genau dieser Infrastruktur trifft direkt den Vorteil, den On-Premises-Hosting eigentlich sichern sollte. Die Fuenf-Wochen-Luecke zwischen Patch-Verfuegbarkeit und Bundesfrist ist ein bekanntes Muster: ein existierender Fix ist nicht dasselbe wie ein eingespielter Fix.

Was Sie jetzt tun sollten

1. Sofortmassnahme: Auf Zimbra Collaboration Suite 10.1.20 oder neuer aktualisieren, auf jeder Instanz, die das Update noch nicht eingespielt hat.
2. Pruefen: Feststellen, ob das Paket zimbra-snmp installiert und snmp_notify aktiviert ist; wird SNMP-Monitoring nicht aktiv genutzt, entfernt eine Deaktivierung den betroffenen Codepfad vollstaendig — unabhaengig vom Patch.
3. Mitigieren: Falls ein sofortiges Update nicht moeglich ist, den swatchdog-Dienst deaktivieren oder eingehenden SMTP-Verkehr von nicht vertrauenswuerdigen Quellen auf Netzwerkebene blockieren.
4. Monitoring: /var/log/zimbra.log fuer den Zeitraum seit dem 20. Juli auf unerklaerte Dienst-Statuswechsel pruefen und jeden Fund als moeglichen Kompromittierungs-Hinweis behandeln, der eine vollstaendige Incident-Response erfordert.

DIESEC Einschätzung

Ein Muster, das wir im Mittelstand regelmaessig sehen: eine bewusst selbst gehostete Plattform, gewaehlt, um Cloud-Abhaengigkeit zu vermeiden, mit einer Monitoring-Funktion, an deren Konfiguration sich niemand mehr erinnert — und die sich als genau die Angriffsflaeche entpuppt, sobald ein Forscher genau genug hinschaut. Der seit Juli verfuegbare Patch hat niemanden geschuetzt, der ihn nicht eingespielt hat — und Polens CERT, nicht eine DACH- oder US-Quelle, bestaetigte die Ausnutzung zuerst.

Nicht sicher, ob Ihre On-Premises-Mail-Infrastruktur diese Luecke hat? Kontaktieren Sie DIESEC fuer eine schnelle Patch-Verifizierung und Expositions-Analyse.

Quellen: BleepingComputer | The Hacker News
Veröffentlicht: 2026-08-26 | Kategorie: Tägliche News | ~4 Min. Lesezeit