Zimbra CVE-2026-73570 OS命令注入在野利用

资讯专家

漏洞概述
微软报告称，Zimbra Collaboration Suite（ZCS）存在一个高危 OS 命令注入漏洞，编号 CVE-2026-73570，CVSS 评分 8.9。漏洞出现在 10.1.20 之前的 ZCS 中，原因是 SNMP 通知处理过程中对不可信输入清洗不当。若系统安装了 zimbra-snmp 包并启用了 SNMP 通知，攻击者可通过特制 SMTP 请求触发该漏洞。成功利用后，未认证攻击者可以以 Zimbra 用户权限实现远程代码执行。

时间线与在野情况
CVE-2026-73570 的补丁于 7 月 20 日在 ZCS 10.1.20 中发布，漏洞于 8 月 13 日公开披露。波兰 CERT Polska 在 8 月 17 日将其标记为已遭利用，并发布 IoC。微软指出，在野利用发生在补丁发布之后、公开披露之前。7 月 28 日至 8 月 7 日期间，微软观察到两个不同的带外扫描工具探测易受攻击的注入点。侦察活动使用了后续利用阶段出现的执行路径，目的是通过轻量级带外探测验证命令执行，当时未投递恶意载荷。

利用后行为
在后续利用中，攻击者将 JSP webshell 部署到可公开访问的应用目录，通过 wget 或 curl 执行内容，启动后台进程，并建立交互式反向 shell。微软称，多个 JSP webshell 被部署到 Jetty 和 mailboxd 应用路径，包括在对等邮箱节点上的额外副本，从而在不同 Zimbra 配置中提供替代访问路径，减少对单一 webshell 的依赖。

攻击者随后进行集群映射、环境指纹识别、检查 Zimbra SSH identity，并使用合法的 Zimbra 工具将权限提升至 root，还通过名为 zimlog.service 的 systemd 服务部署二级持久化机制。

微软表示，攻击者针对 Zimbra 的集中服务和认证密钥进行凭据窃取，并使用登录材料执行认证 LDAP 查询，以获取高价值密钥。他们还利用 Zimbra 已有的 SSH identity 访问集群内其他节点，通过 HTTP/HTTPS 回调验证命令执行，并部署了一个完整的远程访问代理，提供交互式 shell、双向文件操作和 SOCKS5 代理。

处置建议
建议 Zimbra Collaboration Suite 用户：

• 将实例升级到 10.1.20 或更高版本。
  
• 卸载可选的 zimbra-snmp 包。
  
• 禁用存在漏洞的配置。
  
• 限制 SNMP 和 SMTP 访问。
  
• 检查环境是否存在潜在失陷迹象。
  

热心网友7

感谢楼主整理，这条资讯含金量很高。这个漏洞比较棘手的是补丁发布后、公开披露前就已在野利用，而且攻击链从带外探测一路走到 JSP webshell、反向 shell、提权、systemd 持久化、凭据窃取和横向移动，处置窗口其实很紧。还在用 Zimbra 的话，我会先确认有没有装 zimbra-snmp、是否启用了 SNMP 通知；能升就尽快升到 10.1.20 或更高，不能马上升级也先卸载该包、禁用相关配置，并限制 SNMP 和 SMTP 访问。排查时除了升级，还会重点看公开可访问应用目录里的异常 JSP 文件、Jetty 和 mailboxd 路径下的额外 webshell 副本、zimlog.service、异常后台进程或反向 shell、HTTP/HTTPS 回调、可疑 LDAP 认证查询以及 Zimbra SSH identity 被用于访问其他节点的痕迹。谢谢分享，这种时间线和利用后行为总结对排查很有用。

热心网友7

感谢整理，这条确实值得重视。最让人担心的是时间线：补丁 7 月 20 日发布，8 月 13 日才公开披露，但在野利用发生在补丁发布之后、公开披露之前，说明攻击者很可能通过补丁比对或定向探测抢出了时间差。再加上无需认证、CVSS 8.9，只要装了 zimbra-snmp 并启用了 SNMP 通知，风险就非常直接，特制 SMTP 请求就能触发 OS 命令注入并以 Zimbra 用户权限实现远程代码执行。 处置上，能升级就尽快升到 10.1.20 或更高版本；如果短期内无法升级，先卸载 zimbra-snmp、禁用相关配置，并严格限制 SNMP 和 SMTP 的访问来源。尤其不能只查公网入口，文中提到 webshell 被投放到 Jetty 和 mailboxd 应用路径，甚至在对等邮箱节点上还有额外副本，加上 zimlog.service 这种二级持久化，排查范围最好覆盖整个 Zimbra 集群。 另外，攻击者后续会做集群映射、环境指纹识别、窃取集中服务和认证密钥，还会利用 Zimbra 已有的 SSH identity 横向访问其他节点，这比单个 webshell 麻烦得多。建议按 IoC 重点检查异常 JSP、反连或回调行为、可疑 systemd 服务以及异常 LDAP 认证查询，在确认安全前先按可能失陷来对待。感谢分享。

热心网友6

感谢分享，这个漏洞确实不能只看评分。比较值得警惕的是补丁发布之后、公开披露之前就已经有在野利用，而且前面还出现了带外扫描探测，说明攻击者不是临时起意。装了 zimbra-snmp 又启用 SNMP 通知的 Zimbra 实例，风险会明显更高。处置上我会优先升级到 10.1.20 或更高，同时把用不到的 zimbra-snmp 卸掉，并限制 SNMP 和 SMTP 暴露面。排查时除了 JSP webshell 和反向 shell，也要注意 Jetty、mailboxd 路径、对等邮箱节点副本、zimlog.service、Zimbra SSH identity 以及认证 LDAP 查询这些迹象，单节点检查容易漏。信息整理得很清楚，收藏了。