Una vulnerabilità critica in Zimbra (CVE-2026-73570) permette di eseguire comandi da remoto e rubare email. Riguarda le versioni precedenti alla 10.1.20 con modulo SNMP attivo. Aggiornare subito.
Il 30 settembre 2026, i ricercatori di Ars Technica e Microsoft Threat Intelligence hanno confermato lo sfruttamento attivo di una grave falla sui server di posta Zimbra Collaboration Suite. Questa vulnerabilita zimbra comando remoto email, identificata come CVE-2026-73570, permette a un aggressore di prendere il controllo del sistema inviando un semplice messaggio malevolo, senza bisogno di password. Il problema riguarda le versioni precedenti alla 10.1.20. Per proteggere i dati aziendali, è necessario aggiornare immediatamente l'infrastruttura o disabilitare il modulo SNMP.
Dettagli della vulnerabilità CVE-2026-73570
La falla (punteggio CVSS v3.1: 8.9) consiste in un'iniezione non autenticata di comandi a livello di sistema operativo. L'intrusione avviene tramite l'invio di un'email appositamente formattata via SMTP, senza richiedere alcuna interazione da parte degli utenti (attacco "zero-click"). Sfruttando il percorso di elaborazione delle notifiche SNMP, gli attaccanti possono installare backdoor, estrarre copie di sicurezza delle caselle postali e rubare credenziali. Le prime evidenze di sfruttamento risalgono ad agosto 2026, individuate dal CERT Polska, e la falla è ora inclusa nel catalogo KEV della CISA.
Chi è coinvolto e configurazioni a rischio
Il problema interessa tutte le installazioni di Zimbra Collaboration Suite (ZCS) con versioni precedenti alla 10.1.20. Il server risulta esposto solo se è installato il pacchetto opzionale "zimbra-snmp" e le notifiche SNMP sono attive. Molte PMI italiane utilizzano Zimbra internamente: l'esfiltrazione dell'archivio messaggi espone l'azienda a violazioni di dati personali, con obbligo di notifica al Garante Privacy entro 72 ore (GDPR), oltre al rischio di ricatti verso clienti e fornitori.
Come riconoscere i segnali di compromissione
Prima di procedere con gli aggiornamenti, è fondamentale verificare se il server è già stato colpito. I segnali da cercare sono:
- Riavvii imprevisti dei servizi registrati nel file di log "/var/log/zimbra.log".
- Presenza di file ".jsp" anomali o creati di recente nelle directory "webapps" e nelle cartelle temporanee del sistema ("/tmp", "/var/tmp").
- Processi non autorizzati in esecuzione con i permessi dell'account di servizio "zimbra".
Questi artefatti indicano il rilascio di "JSP web shells" o "reverse shells".
Cosa fare per mettere in sicurezza i server
Per proteggere l'infrastruttura, è necessario intervenire con urgenza seguendo questi passi:
- Aggiornare il sistema: Installare immediatamente la versione 10.1.20 (o successiva, come la 10.1.21) distribuita da Synacor/Zimbra.
- Applicare la soluzione temporanea: Se l'aggiornamento non può essere eseguito subito, disabilitare le notifiche SNMP o disinstallare il pacchetto "zimbra-snmp" sui server esposti a Internet per interrompere il vettore di attacco.
- Gestire l'incidente: In caso di compromissione accertata o sospetta, procedere alla revoca di tutte le sessioni attive e al reset completo delle credenziali amministrative e utente.
