Zimbra unter Angriff: SNMP-Fehler mit CVSS 8.9 hat bereits mindestens 274 öffentliche Server lahmgelegt
CVE-2026-73570 ermöglicht die Remote-Code-Ausführung ohne Authentifizierung auf Zimbra-Servern mit standardmäßig aktivierten SNMP. CISA hat eine Frist von drei Tagen für Bundesbehörden gesetzt, und das Zeitfenster für Patches wird immer kleiner.
Die Verwundbarkeit CVE-2026-73570 in der Zimbra Collaboration Suite ist aktiv in der Ausnutzung. Unabhängige Forscher haben mindestens 274 kompromittierte öffentliche Instanzen identifiziert, laut einer Erhebung, die am Dienstag, dem 25. August, von Help Net Security veröffentlicht wurde. Der Fehler, mit einem CVSS-Wert von 8.9, ermöglicht die Remote-Code-Ausführung ohne Authentifizierung durch die Verarbeitung von SNMP-Benachrichtigungen, einem standardmäßig aktivierten Feature in den betroffenen Versionen.
Der Angriffsweg ist direkt. Laut der technischen Beschreibung saniert die Verarbeitung von SNMP-Benachrichtigungen in Zimbra unsichere Eingaben nicht ausreichend. Ein Angreifer sendet spezifisch konstruierte SMTP-Anfragen und erlangt die arbiträre Ausführung von Befehlen mit den Berechtigungen des Zimbra-Benutzers, was effektiv den gesamten E-Mail-Server übergibt. Es handelt sich nicht um einen engen Authentifizierungsumgehung. Es ist die vollständige Kontrolle über den Host.
Die Zeitlinie ist wichtig
Zimbra Networks gab die CVE am 26. Juni bekannt und veröffentlichte die korrigierte Version 10.1.20 am 20. Juli. Am 17. August gab CERT Polska eine öffentliche Warnung über aktive Ausnutzung heraus. Die CISA fügte den Fehler ihrem Katalog der Bekannt gewordenen Schwachstellen hinzu und setzte eine Frist von drei Tagen für zivile Bundesbehörden zur Anwendung des Patches, eine kürzere Frist als die üblichen fünfzehn Tage dieses Mechanismus. Zwischen der Bekanntmachung und dem ersten öffentlichen Bericht über eine Produktionskompromittierung vergingen etwa sieben Wochen.
Sieben Wochen waren früher eine komfortable Zeitspanne in Unternehmens-Patchfenstern. Das ist nicht mehr der Fall. Die Einschätzung von Analysten des Continuous Threat Exposure Management, wie sie SafeBreach seit dem Zerologon veröffentlicht, lautet, dass sich das nützliche Zeitfenster für Patches von Quartalen auf Wochen für nicht authentifizierte RCE-Schwachstellen mit öffentlichem PoC verkürzt.
Wer Zimbra außerhalb der USA betreibt
Zimbra kommt in Sektoren vor, in denen Exchange und Microsoft 365 nicht durchdrungen sind, sei es aus Kostengründen, zur Datenkontrolle oder aufgrund von Vorlieben für Open Source. In den USA ist es in Universitäten, mittelständischen Unternehmen und einigen staatlichen Stellen verbreitet. In Europa ist es in französischen, italienischen und osteuropäischen Ministerien sowie bei öffentlichen Gesundheitsdiensten üblich. In Südostasien ist es in Regierungsverträgen in Vietnam und auf den Philippinen zu finden. In Lateinamerika ist es die Standardplattform in mehreren brasilianischen Staatssekretariaten sowie in Ministerien in Argentinien, Mexiko und Kolumbien.
Der gemeinsame Standard in fast allen diesen geografischen Regionen ist derselbe: Betrieb delegiert an lokale Integratoren, mit kleinen Teams und Wartungszeitfenstern, die von Komitees festgelegt werden. Sieben Wochen für das Einspielen eines Notfall-Patches passen nicht in dieses Muster. Daher tendiert die betroffene Basis dazu, überproportional öffentlich zu sein.
Was Zimbra sagt und was CISA auferlegt
Zimbra Networks bestätigte die Existenz der CVE-2026-73570 in ihrem Sicherheitsbulletin von Juni und stellte das Update im Juli zur Verfügung. Das Unternehmen hat bis zum Zeitpunkt der Veröffentlichung dieses Artikels keine weiteren Mitteilungen über die Anzahl der kompromittierten Instanzen herausgegeben. Die CISA hingegen hat mit einer kürzeren Frist als üblich agiert, was auf eine Einschätzung eines drohenden Risikos hinweist. Die Zahl von 274 kompromittierten Servern stammt aus externen Scans und nicht aus internen Audits der Betreiber, was darauf hindeutet, dass die tatsächliche Gesamtzahl höher ist.
Was der CIO diese Woche tun muss
Zimbra-Instanzen, die sich noch auf Versionen unter 10.1.20 befinden, sollten bis zum Beweis des Gegenteils als kompromittiert betrachtet werden. Sofortige Isolation, Überprüfung auf von Angreifern platzierte Web-Shells, Analyse von SNMP- und SMTP-Protokollen sowie Revalidierung von Anmeldeinformationen sind die ersten Schritte. Die Standardkonfiguration der SNMP-Benachrichtigungen muss auch nach dem Patch überprüft werden, insbesondere in Multi-Tenant-Umgebungen und in verwalteten Diensten, die Zimbra für mehrere Kunden betreiben.
Für Integratoren, die Zimbra im Namen öffentlicher Kunden betreiben, verändert dieser Fall die vertragliche Diskussion. SLAs für Patches, die auf monatlichen Fenstern basieren, sind in den letzten achtzehn Monaten obsolet geworden, und die nächste Erneuerung muss diese neue Realität widerspiegeln. Der Fall bestätigt auch eine These, die Sicherheitsarchitekten seit zwei Jahren vertreten: Continuous Threat Exposure Management geht nicht darum, ein vollständiges Inventar von CVEs zu führen. Es geht darum, die Zeit zwischen veröffentlichtem Patch und Patch in Produktion zu reduzieren, basierend auf der kurzen Liste von Schwachstellen, die tatsächlich ausgenutzt werden. Zimbra war im Juli eine davon. Öffentliche Sektoren auf drei Kontinenten tragen jetzt die Beweise.