This post is also available in: Português
A CVE-2026-73570 é uma vulnerabilidade de execução remota de código no Zimbra Collaboration Suite (ZCS) que pode permitir que um atacante não autenticado execute comandos arbitrários no sistema operacional do servidor. O problema afeta instalações anteriores à versão 10.1.20 quando o pacote opcional zimbra-snmp está instalado e as notificações SNMP estão habilitadas. A gravidade do cenário aumenta significativamente porque a falha já está sendo explorada ativamente e foi incluída no catálogo Known Exploited Vulnerabilities (KEV) da CISA.
O Zimbra é uma plataforma empresarial de e-mail e colaboração utilizada para centralizar recursos como correio eletrônico, calendário, contatos, tarefas, compartilhamento de arquivos e comunicação entre equipes. A plataforma pode ser implantada em ambientes próprios, nuvens privadas ou por meio de provedores especializados, sendo utilizada por organizações que buscam maior controle sobre a infraestrutura e sobre a localização de seus dados. Segundo a própria Zimbra, a plataforma está presente em mais de 6 mil organizações em 127 países e possui mais de 200 milhões de caixas de correio implantadas.
O que é a CVE-2026-73570
A CVE-2026-73570 está relacionada a uma falha de injeção de comandos no componente responsável pelo monitoramento SNMP do Zimbra Collaboration. O problema ocorre durante o processamento de notificações SNMP, quando dados não confiáveis não são devidamente sanitizados antes de serem utilizados pelo sistema.
Na prática, um atacante pode enviar requisições SMTP especialmente construídas para alcançar o caminho vulnerável. Quando as condições necessárias estão presentes, entradas controladas pelo atacante podem resultar na execução de comandos arbitrários no sistema operacional com os privilégios do usuário zimbra.
O aspecto mais relevante da vulnerabilidade é que ela não exige autenticação. Isso significa que o atacante não precisa possuir uma conta válida no Zimbra ou obter previamente credenciais de um usuário para tentar explorar o problema.
Embora a vulnerabilidade esteja associada ao componente SNMP, o vetor utilizado para exploração passa por requisições SMTP. Essa característica é especialmente importante em ambientes corporativos, já que servidores Zimbra normalmente precisam manter serviços de e-mail acessíveis pela rede para desempenhar sua função.
Qual produto é afetado pela vulnerabilidade?
A CVE-2026-73570 afeta o Zimbra Collaboration Suite (ZCS) em versões anteriores à 10.1.20, desde que o pacote opcional zimbra-snmp esteja instalado e as notificações SNMP estejam habilitadas. A própria Zimbra classificou a correção como uma correção de segurança no componente de monitoramento SNMP e disponibilizou o ajuste na versão 10.1.20.
Portanto, não basta verificar somente o número da versão instalada. A avaliação da exposição também deve considerar a presença do componente zimbra-snmp e a configuração das notificações SNMP.
A versão 10.1.20, disponibilizada em 20 de julho de 2026, corrige a falha. A atualização também trouxe correções para outras vulnerabilidades de segurança no Zimbra Collaboration.
Um ponto que merece atenção é que a versão 10.1.19, lançada anteriormente, não corrige a CVE-2026-73570. A 10.1.19 foi disponibilizada para tratar uma vulnerabilidade diferente no Classic Web Client. Dessa forma, ambientes que foram atualizados recentemente para 10.1.19 não devem ser considerados protegidos contra a falha de SNMP.
Como ocorre a exploração da CVE-2026-73570?
A exploração combina uma entrada controlada remotamente com um processamento inadequadamente sanitizado no mecanismo de notificações SNMP.
O atacante envia uma requisição SMTP especialmente elaborada ao servidor Zimbra. A entrada maliciosa pode ser encaminhada para o processamento de notificações do componente SNMP. Nesse ponto, a ausência de uma neutralização adequada de elementos utilizados em comandos do sistema operacional cria uma condição para injeção de comandos.
A vulnerabilidade foi classificada como CWE-78, categoria associada à neutralização inadequada de elementos especiais utilizados em comandos do sistema operacional, também conhecida como OS Command Injection.
Como resultado, um atacante pode alcançar execução de comandos remotamente sem precisar realizar login. A execução ocorre sob o contexto do usuário zimbra, o que pode oferecer ao invasor acesso relevante aos recursos e dados disponíveis para os serviços da plataforma.
O cenário não representa apenas uma possibilidade teórica. A exploração da CVE-2026-73570 já foi observada em ambientes reais, segundo o CERT Polska, que publicou um alerta sobre ataques contra servidores Zimbra. Posteriormente, a CISA incluiu a vulnerabilidade em seu catálogo de falhas conhecidamente exploradas.
CVE-2026-73570 está sendo explorada ativamente
Um dos fatores que tornam essa vulnerabilidade particularmente relevante é a confirmação de exploração em ambientes reais.
O CERT Polska identificou atividades de exploração contra instalações do Zimbra Collaboration e alertou administradores para verificarem seus ambientes. A falha já havia sido corrigida pela Zimbra na versão 10.1.20, lançada em julho, mas a exploração foi observada aproximadamente um mês após a disponibilização do patch.
Em 21 de agosto de 2026, a CISA adicionou a CVE-2026-73570 ao catálogo Known Exploited Vulnerabilities. A inclusão no KEV é um sinal relevante para equipes de segurança porque indica que a vulnerabilidade não deve ser tratada apenas como uma ameaça potencial. Há evidências de exploração e, consequentemente, a priorização da correção deve considerar o risco real para ativos expostos.
Para órgãos do governo federal civil dos Estados Unidos, a inclusão no catálogo também estabeleceu prazo específico para remediação, com data-limite de 24 de agosto de 2026. Para outras organizações, a obrigação regulatória específica pode não se aplicar, mas o KEV continua sendo um indicador importante de prioridade técnica e operacional.
Por que a vulnerabilidade merece atenção especial?
Servidores de e-mail ocupam uma posição estratégica dentro das infraestruturas corporativas. Além de processarem comunicações, podem armazenar grandes volumes de mensagens, anexos, contatos, calendários e outros dados organizacionais.
Uma execução remota de comandos no servidor que hospeda esse tipo de serviço pode, portanto, criar condições para uma cadeia de comprometimento mais ampla.
A CVE-2026-73570 não entrega automaticamente privilégios administrativos ao atacante. A execução ocorre como o usuário zimbra. Ainda assim, esse contexto pode ser suficientemente privilegiado para permitir acesso a componentes importantes da aplicação e para criar condições para persistência, movimentação ou obtenção de informações adicionais, dependendo da configuração específica do ambiente.
Por esse motivo, a identificação de uma tentativa ou de uma exploração bem-sucedida não deve ser tratada apenas como um problema de disponibilidade do serviço de e-mail. Ela deve ser analisada como um possível incidente de segurança envolvendo o servidor e os dados processados por ele.
Como verificar se o ambiente está vulnerável
A primeira verificação deve identificar a versão do Zimbra Collaboration instalada. Ambientes anteriores à versão 10.1.20 devem ser considerados potencialmente vulneráveis e precisam passar por uma avaliação adicional.
Em seguida, é necessário verificar se o pacote zimbra-snmp está instalado e se as notificações SNMP estão habilitadas. A presença dessas condições é determinante para a exposição à CVE-2026-73570.
Também é importante não presumir que a ausência de uma configuração de monitoramento conhecida pela equipe significa que o componente não está presente. A avaliação deve ser feita diretamente no servidor e confrontada com o inventário de software e configuração.
Ambientes com versões antigas ou sem suporte merecem atenção ainda maior. A própria documentação de segurança da Zimbra alerta que versões antigas e sem suporte podem compartilhar vulnerabilidades encontradas em versões suportadas e recomenda a atualização para versões atualmente suportadas.
Como detectar possíveis sinais de exploração
Como a CVE-2026-73570 já está sendo explorada, organizações que possuem servidores potencialmente vulneráveis devem considerar não apenas a atualização, mas também a investigação de possíveis sinais de comprometimento.
O CERT Polska recomendou atenção aos registros do Zimbra, incluindo o arquivo /var/log/zimbra.log, especialmente em relação a reinicializações ou alterações inesperadas no estado de serviços. Também foram indicadas verificações de arquivos criados recentemente em diretórios como /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/.
Esses indicadores não devem ser interpretados isoladamente como prova de exploração. Uma alteração legítima decorrente de atualização, manutenção ou administração também pode produzir eventos semelhantes. O contexto temporal, a origem da atividade, o usuário responsável pela criação de arquivos e a correlação com eventos de rede e autenticação são fundamentais para determinar se houve comprometimento.
Também é recomendável analisar conexões de saída realizadas pelo servidor, processos executados pelo usuário zimbra e alterações inesperadas em arquivos da aplicação. Em um cenário de exploração bem-sucedida, esses dados podem ajudar a reconstruir a sequência de ações realizada pelo atacante.
Como corrigir a CVE-2026-73570
A correção indicada pela Zimbra é a atualização para a versão 10.1.20 ou posterior. A versão 10.1.20 foi disponibilizada em 20 de julho de 2026 e inclui a correção para a vulnerabilidade de injeção de comandos no componente SNMP.
A atualização deve ser tratada como prioritária em ambientes expostos à internet, principalmente porque a CVE-2026-73570 já figura no catálogo KEV da CISA e há confirmação de exploração ativa.
Caso a atualização não possa ser realizada imediatamente, a organização deve avaliar a possibilidade de desabilitar os recursos relacionados à exploração, incluindo as notificações SNMP e, quando tecnicamente adequado, remover o pacote opcional zimbra-snmp. Essas medidas devem ser consideradas como contenção temporária e não como substituição da aplicação do patch. A recomendação principal continua sendo atualizar o Zimbra para uma versão corrigida.
Após a atualização, é importante validar a versão efetivamente instalada e confirmar que todos os nós relevantes do ambiente foram contemplados. Em arquiteturas com múltiplos servidores, atualizar apenas um componente pode deixar outros ativos vulneráveis.
O que fazer se houver suspeita de comprometimento?
Se o ambiente estava vulnerável durante o período em que a exploração já era observada, a simples instalação do patch não deve encerrar a investigação.
Primeiro, é necessário preservar e analisar os registros disponíveis para identificar atividades anômalas. A revisão deve considerar eventos anteriores à atualização, já que a existência de uma versão corrigida atualmente não permite determinar se o servidor foi comprometido antes do patch.
Também devem ser avaliados arquivos novos ou modificados, processos inesperados, conexões de rede incomuns, alterações em configurações e atividades associadas ao usuário zimbra. Caso sejam encontrados indícios de execução de comandos não autorizados ou persistência, o incidente deve ser tratado de acordo com o processo de resposta a incidentes da organização.
Em ambientes críticos, a investigação forense pode ser necessária para determinar o alcance do comprometimento e verificar se o atacante utilizou o servidor como ponto de entrada para outras etapas da intrusão.
A importância de priorizar vulnerabilidades exploradas
A CVE-2026-73570 demonstra por que a gestão de vulnerabilidades não deve considerar apenas a pontuação CVSS para definir prioridades.
Uma vulnerabilidade com CVSS 8,9 já representa um risco elevado, mas a existência de exploração ativa acrescenta uma dimensão prática que altera a urgência da resposta. Nesse cenário, o intervalo entre a identificação da exposição e a aplicação da correção pode determinar se a vulnerabilidade permanece apenas como uma falha conhecida ou se transforma em um incidente de segurança.
O caso do Zimbra também reforça outro ponto importante: a existência de um patch disponível não significa que o risco desapareceu. A correção precisa chegar efetivamente aos ativos vulneráveis. Inventário atualizado, identificação de versões, gerenciamento de configurações, monitoramento e capacidade de resposta precisam funcionar de forma integrada.
Para organizações que utilizam Zimbra Collaboration, especialmente em servidores expostos à internet, a CVE-2026-73570 deve ser tratada como uma vulnerabilidade de alta prioridade. A atualização para a versão 10.1.20 ou posterior, a validação da configuração do zimbra-snmp e a investigação de possíveis sinais de exploração são medidas fundamentais para reduzir o risco associado à falha.
A combinação entre execução remota de comandos sem autenticação, impacto potencial sobre um servidor de e-mail corporativo e exploração ativa torna essa vulnerabilidade particularmente relevante para equipes de infraestrutura, segurança da informação e gestão de riscos.
This post is also available in: Português
