攻击者一直在利用 Zimbra 严重漏洞窃取电子邮件

# 攻击者利用关键 Zimbra 漏洞窃取邮件 来源：https://arstechnica.com/security/2026/09/attackers-have-been-exploiting-critical-zimbra-flaw-to-steal-emails/ 据 Microsoft 警告（https://www.microsoft.com/en-us/security/blog/2026/09/30/unauthenticated-command-injection-on-internet-facing-mail-servers-tracking-cve-2026-73570/），黑客一直在利用 Zimbra Collaboration Suite 中的一个关键漏洞，试图获取易受攻击组织的邮件备份和身份验证凭据。 该漏洞被追踪为 CVE-2026-73570，允许攻击者在无需身份验证的情况下远程执行操作系统命令。Zimbra 的维护方 Synacor 于 7 月 20 日发布了补丁，但在补丁发布三个多星期后才披露该漏洞。安全研究机构 Shadowserver Foundation 上周表示（https://bsky.app/profile/did:plc:3xyh2kw5hfxsax4zff3pp5ub/post/mtt4ls2sgs2z），其扫描发现已有 274 个独立的 Zimbra Collaboration Suite 实例遭到入侵。运行该软件的服务器数量从补丁发布后一周的 19,000 台波动至之后几周的约 12,000 台。目前，Shadowserver 正在追踪（https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=other_range&d1=2026-07-01&d2=2026-09-29&vendor=synacor&model=zimbra+collaboration+suite&limit=100&group_by=geo&stacking=stacked）约 10,000 个实例。 ## 看，老妈，没有授权也能用 Microsoft 周三表示，从 7 月 28 日到 8 月 7 日，公司检测到两种不同的扫描工具在互联网上探测易受攻击的端点。攻击者首先通过向托管在公共服务上的域名发送 HTTP 请求以及 DNS、ICMP 和带外身份验证检查，来验证其漏洞利用是否有效。这些探测使攻击者能够确认其利用代码可以在易受攻击的服务器上成功执行命令，而无需实际入侵服务器。最终，攻击者开始使用其命令注入能力安装恶意负载。Microsoft 写道： > 成功利用漏洞后，观察到的活动包括部署 JSP Web shell 和反弹 shell、提权、持久性远程访问工具以及基于内存的执行。威胁行为者还访问了电子邮件，并收集了身份验证和邮箱数据，同时观察到了归档创建及后续传输活动。这些活动既包括自动化负载投放，也包括在被入侵邮件服务器上进行的手动操作。Microsoft 在多个地区和行业都观察到了受影响的组织。根据所调查的环境，漏洞利用并非局限于单一行业或地理区域。 CVE-2026-73570 允许无需凭据的远程攻击者通过精心构造的电子邮件触发 ZCS SNMP 通知路径来运行操作系统命令，但前提是可选的 zimbra-snmp 包已安装且 SNMP 通知已启用。