Przy pakiecie zimbra-snmp spreparowane żądanie SMTP pozwala bez konta wykonać polecenia na serwerze Zimbra. CERT Polska i CISA potwierdzają kampanię. Sprawdź ślady włamania i zaktualizuj do 10.1.20.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własny serwer poczty Zimbra Collaboration Suite (ZCS) lub korzystają z niego u dostawcy. Werdykt: jeśli Zimbra działa w wersji starszej niż 10.1.20, a na serwerze jest pakiet zimbra-snmp z włączonymi powiadomieniami, najpierw sprawdź ślady włamania, a potem zaktualizuj serwer dziś, bo CERT Polska i CISA potwierdzają trwającą kampanię.
Amerykańska agencja CISA 21 sierpnia 2026 roku dopisała CVE-2026-73570 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach, i dała agencjom federalnym tylko 3 dni. Wcześniej, 17 sierpnia, CERT Polska potwierdził aktywną kampanię wykorzystującą tę lukę. Napastnik bez konta wysyła do serwera spreparowane żądanie SMTP, a przy zainstalowanym opcjonalnym pakiecie zimbra-snmp i włączonych powiadomieniach SNMP treść z zewnątrz trafia do polecenia systemowego i zostaje wykonana z uprawnieniami konta usługi Zimbra.
CISA wymaga przy tej pozycji sprawdzenia śladów włamania (Forensics Triage) zgodnie z dyrektywą BOD 26-04. Termin naprawy minął 24 sierpnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-73570 |
Data dodania do CISA KEV | 2026-08-21 |
Termin naprawy wg CISA | 2026-08-24 (3 dni od wpisu), z wymogiem sprawdzenia śladów włamania |
Produkt | Synacor Zimbra Collaboration Suite (ZCS), serwer poczty i pracy grupowej (w bazie europejskiej zapisywany jako Zimbra) |
Wersje zagrożone | Wg NVD wszystkie wersje poniżej 10.1.20, ale tylko przy zainstalowanym opcjonalnym pakiecie zimbra-snmp i włączonych powiadomieniach SNMP |
Wersje bezpieczne | 10.1.20 i nowsze (jedyna wskazana droga naprawy; ogłoszenie producenta o wydaniu z lipca 2026 roku) |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego; CWE-78 |
Ocena CVSS | 8.9/10 WYSOKA (CVSS 3.1, MITRE; ENISA podaje tę samą ocenę). Atak przez sieć, bez konta, bez udziału użytkownika, złożony (wymaga konkretnej konfiguracji), skutki wychodzą poza podatny komponent |
Wyobraź sobie formularz zgłoszenia awarii z rubryką „opis usterki”, której treść trafia prosto na listę zadań brygady technicznej, bez czytania przez człowieka. Ktoś wpisuje w rubrykę nie opis, tylko polecenie, a brygada je wykonuje, bo przyszło właściwym kanałem.
Tak działa ta luka. Serwer Zimbra ma usługę czuwającą nad stanem innych usług, włączoną domyślnie. Jeśli ktoś kiedyś doinstalował pakiet monitoringu zimbra-snmp i włączył powiadomienia, informacje o zmianach statusu trafiają do przetwarzania. Napastnik wysyła zwykłym kanałem poczty (SMTP) spreparowane żądanie, fragment jego treści nie jest oczyszczany i zostaje wykonany jako polecenie na serwerze.
💡 SMTP to protokół, którym wędruje poczta elektroniczna. SNMP to protokół do monitorowania urządzeń i usług, wysyłający powiadomienia o zmianach stanu. Wstrzyknięcie poleceń to podrzucenie własnych poleceń systemowych w miejscu, gdzie program oczekuje zwykłego tekstu. Konto usługi to konto systemowe, na którym działa program; tu jest właścicielem wszystkich skrzynek. Forensics Triage to wymóg CISA sprawdzenia śladów włamania przed samą aktualizacją. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła żądanie SMTP do serwera | Serwer obsługuje je jak zwykłą pocztę | Przy pakiecie zimbra-snmp fragment żądania zostaje wykonany jako polecenie |
Pakiet monitoringu zainstalowany lata temu | Nieużywany, zapomniany | Otwarta droga do serwera |
Skrzynki wszystkich pracowników | Dostępne tylko dla właścicieli | Dostępne dla napastnika z uprawnieniami konta usługi |
Katalogi aplikacji WWW serwera | Tylko pliki Zimbry | Możliwe podrzucone pliki działające jak strona napastnika |
Aktualizacja do 10.1.20 | Zamyka problem | Zamyka wejście, ale nie usuwa śladów wcześniejszego włamania |
źródło: Pexels, Amar PreciadoPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z opisem mechanizmu i wskazówkami CERT Polska. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwer poczty z definicji przyjmuje połączenia SMTP z internetu, atak nie wymaga konta, ale uda się tylko przy konkretnej konfiguracji; CISA ocenia go jako niezautomatyzowany, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów Zimbra przyjmujących pocztę z internetu | Lista celów |
2. Spreparowane żądanie | T+minuty | Wysłanie żądania SMTP z ładunkiem trafiającym do powiadomienia o zmianie statusu | Ładunek w dzienniku i w powiadomieniu SNMP |
3. Wykonanie polecenia | T+minuty | Przetworzenie powiadomienia bez oczyszczenia treści | Polecenie wykonane jako konto usługi Zimbra |
4. Utrwalenie | T+godziny | Podrzucenie plików do katalogów aplikacji WWW lub /tmp | Własna „strona” napastnika w serwerze poczty |
5. Kradzież | T+dni do tygodni | Odczyt skrzynek, załączników, kluczy podpisujących pocztę, połączenia wychodzące | Wyciek korespondencji całej firmy |
Poczta firmowa zna wszystko: umowy, faktury, korespondencję z prawnikiem, rozmowy o wynagrodzeniach. Konto usługi Zimbra nie jest administratorem całej maszyny, ale jest właścicielem tego, co najcenniejsze. Warunek „tylko przy opcjonalnym pakiecie” nie uspokaja, bo mało kto pamięta, co zainstalowano lata temu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odizolowanie i odbudowa serwera poczty, przerwa w komunikacji | Dni | 20 tys. do 150 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyciek skrzynek wszystkich pracowników, załączników i kluczy podpisujących | Dni od włamania | 50 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Wyłudzenia w imieniu firmy, koszty specjalistów, roszczenia klientów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Wyciek poufnej korespondencji klientów, fałszywe wiadomości z firmowej domeny | Miesiące | 50 tys. do 500 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 200 tys. PLN (obsługa prawna, zgłoszenia, powiadomienia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: Zimbra poniżej 10.1.20
Wpływ
5 | . . . . ■ ← KRYTYCZNE (pakiet zimbra-snmp i powiadomienia włączone)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | ● . . . . ● bez pakietu zimbra-snmp
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla serwera z pakietem zimbra-snmp i włączonymi powiadomieniami ryzyko jest krytyczne (trwająca kampania potwierdzona przez CERT Polska i CISA, dostęp do całej poczty), mimo niskiego EPSS, który opisuje wąską skalę kampanii; serwer bez tego pakietu nie jest podatny na tę lukę, ale aktualizacja i tak jest zalecana.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Zimbry oraz czy zainstalowany jest pakiet zimbra-snmp i włączone powiadomienia SNMP | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Przejrzeć /var/log/zimbra.log pod kątem wpisów o zmianie statusu usług z obcym ładunkiem (ostatnie 30 dni) | Dziś, przed aktualizacją | Administrator poczty / zespół bezpieczeństwa |
3 | 🔴 NATYCHMIAST | Sprawdzić pliki utworzone przez konto usługi Zimbra w /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ i /tmp/ (ostatnie 30 dni) | Dziś, przed aktualizacją | Administrator poczty / zespół bezpieczeństwa |
4 | 🔴 NATYCHMIAST | Zaktualizować Zimbrę do 10.1.20 lub nowszej | Dziś | Administrator poczty / dostawca |
5 | 🟠 PILNIE | Przy jakimkolwiek znalezisku: potraktować sprawę jako incydent, sprawdzić połączenia wychodzące z serwera, ocenić obowiązek zgłoszenia do UODO | Do 2 dni | CTO / inspektor ochrony danych |
6 | 🟠 PILNIE | Usunąć pakiet zimbra-snmp lub wyłączyć powiadomienia, jeśli monitoring nie jest używany | Do 3 dni | Administrator poczty |
7 | 🟡 WAŻNIE | Spisać opcjonalne składniki włączone na każdym serwerze firmy | Do 30 dni | CTO |
8 | 🟡 WAŻNIE | Zapisać się na komunikaty CERT Polska, które w tym przypadku wyprzedziły katalog CISA o 4 dni | Do 7 dni | CTO |
Producent wskazuje wersję 10.1.20 jako jedyną drogę naprawy. Warunkiem podatności jest pakiet zimbra-snmp z włączonymi powiadomieniami, co daje miarę przejściową; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie powiadomień SNMP lub usunięcie pakietu zimbra-snmp, jeśli nie jest potrzebny | Wysoka: usuwa warunek podatności | Łatwa, jeśli monitoring nie jest używany |
Sprawdzenie śladów włamania wg wskazówek CERT Polska | Wysoka w wykrywaniu, nie zapobiega atakowi | Średnia |
Monitorowanie nowych plików w katalogach aplikacji WWW i /tmp | Średnia w wykrywaniu | Średnia |
Blokada nietypowych połączeń wychodzących z serwera poczty | Średnia: ogranicza wykorzystanie przejętego serwera | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Zimbry | Poniżej 10.1.20 | 10.1.20 lub nowsza |
Pakiet zimbra-snmp | Zainstalowany i zapomniany | Usunięty lub świadomie używany |
Ślady włamania | Nieznane | Sprawdzone logi i katalogi, wynik zapisany |
Wiedza o konfiguracji | W pamięci dawnego wykonawcy | Spis opcjonalnych składników serwerów |
Źródła ostrzeżeń | Czekanie na katalog CISA | Komunikaty CERT Polska na bieżąco |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CERT Polska potwierdził trwającą kampanię 17 sierpnia 2026 roku |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.9 WYSOKA (CVSS 3.1, MITRE; ENISA zgodnie) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Wymóg CISA | Sprawdzenie śladów włamania (Forensics Triage) wg dyrektywy BOD 26-04 |
Prognoza EPSS | Niska, około 75. percentyla wszystkich luk (wg analizy źródłowej); opisuje wąską skalę kampanii, nie ryzyko dla serwera z podatną konfiguracją |
Sygnały zagrożenia dla CVE-2026-73570
CVSS 3.1 (MITRE) 8.9/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) niski ██░░░░░░░░░░░░░░░░░░ kampania wąska
CERT Polska TAK ████████████████████ kampania potwierdzona
CISA KEV (3 dni) TAK ████████████████████ z wymogiem triage
Wymaga zimbra-snmp TAK ██████████░░░░░░░░░░ zawęża zakres 2026-07 Zimbra ogłasza wydanie 10.1.20
2026-08-13 Publikacja CVE-2026-73570 w NVD
2026-08-17 CERT Polska potwierdza kampanię i wydaje komunikat 145/2026
2026-08-18 Baza europejska: początek wykorzystywania
2026-08-21 CISA dodaje lukę do KEV z wymogiem sprawdzenia śladów
2026-08-24 Termin naprawy wg CISA; ostatnia aktualizacja wpisu w NVD
... ponad 3 tygodnie od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie producenta o wersji z poprawką: blog.zimbra.com, Zimbra 10.1.20 . Komunikat CERT Polska ze wskazówkami: moje.cert.pl, komunikat 145/2026 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-73570 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firmowa poczta działa na Zimbrze i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać pisemną informację, czy na serwerze jest pakiet zimbra-snmp z włączonymi powiadomieniami | CTO | DZISIAJ |
3 | Zlecić sprawdzenie logów i katalogów wskazanych przez CERT Polska przed aktualizacją | CTO | DZISIAJ |
4 | Zatwierdzić natychmiastową aktualizację do 10.1.20 | CTO | DZISIAJ |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli sprawdzenie coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z dostawcą poczty obejmuje reakcję na incydenty i terminy aktualizacji | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące wycieku korespondencji | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja naszej Zimbry? | [wersja] | 🔴 |
2 | Czy zainstalowany jest pakiet zimbra-snmp i czy powiadomienia SNMP są włączone? | TAK / NIE | 🔴 |
3 | Czy przejrzano /var/log/zimbra.log za ostatnie 30 dni i czy znaleziono podejrzane wpisy? | TAK / NIE, [data] | 🔴 |
4 | Czy w /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ lub /tmp/ są nowe pliki konta usługi Zimbra? | TAK / NIE | 🔴 |
5 | Kiedy zainstalowano wersję 10.1.20? | [data] | 🔴 |
6 | Czy serwer poczty nawiązywał w ostatnich tygodniach nietypowe połączenia wychodzące? | TAK / NIE | 🟠 |
7 | Kto w firmie śledzi komunikaty CERT Polska? | [osoba] | 🟡 |
CVE-2026-73570 pozwala osobie z zewnątrz wykonać polecenia na serwerze poczty Zimbra starszym niż 10.1.20, jeśli zainstalowano pakiet zimbra-snmp z włączonymi powiadomieniami. CERT Polska i CISA potwierdzają trwającą kampanię, dlatego dziś trzeba sprawdzić konfigurację i ślady włamania według wskazówek CERT Polska, a następnie zaktualizować serwer.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.