Zimbra高危漏洞可被未授权攻击者远程执行命令

Zimbra Collaboration Suite被发现存在高危远程命令执行漏洞CVE-2026-73570，CVSS评分为8.9。攻击者无需登录即可利用该问题，在底层Zimbra系统账户权限下执行任意命令，进一步窃取邮箱存档及持久化认证凭据。

维护方Synacor已于2026年7月20日在Zimbra 10.1.20中完成修复，但直到8月13日才公开披露。攻击者在补丁发布后对二进制变化进行逆向分析，并从7月下旬开始扫描公网邮件系统。微软与波兰CERT Polska的遥测显示，部分组织在安全团队充分响应前就已遭植入后门。

漏洞位于Postfix及上游邮件服务向SNMP守护进程传递状态告警的链路。默认安装但可选启用的zimbra-snmp组件会通过swatchdog监控日志；入站SMTP中的可控信封字段被写入syslog时缺少shell参数清理，随后正则规则捕获相关内容，并将其插入未加引号的执行字符串。分号、反引号和竖线等字符因此能够追加恶意命令。

攻击通常先从侦察开始，攻击者发送包含shell逻辑的SMTP数据，通过curl或nslookup触发带外回连，以确认命令是否执行。验证成功后，攻击者会注入Base64编码内容，将JSP后门写入Jetty可访问目录，例如“/opt/zimbra/jetty/webapps/zimbra/”。随后可利用zmprov等工具获取LDAP管理令牌、认证密钥和数据库凭据，并导出完整邮箱，压缩加密后上传至外部云存储。

修复方式是将所有节点升级到Zimbra 10.1.20或更高版本。补丁把监控子系统中的shell字符串拼接改为通过参数数组调用execve。若暂时无法完成集群迁移，可停止SNMP服务包并禁用对应服务，但这会使遥测、自动性能采集和中央可观测性面板功能受限。

披露后，Shadowserver已观察到约274个受影响生产实例，约1万个公网Zimbra部署仍可能暴露于扫描活动中。运行外网邮件网关的组织应将未打补丁服务器按潜在入侵处理，检查Jetty目录中的异常JSP文件，轮换LDAP及Zimbra服务账户凭据，并将管理端点限制在内部跳板机范围内。