Zimbraの重大脆弱性を悪用したメール窃取攻撃
原題: Attackers have been exploiting critical Zimbra flaw to steal emails
なぜ重要か
メールサーバーへの認証不要のRCEは機密情報流出リスクが極めて高く、パッチ未適用の約1万台は依然として危険にさらされている。
Microsoftは2026年9月30日、メールサーバーソフトウェア「Zimbra Collaboration Suite」の重大な脆弱性（CVE-2026-73570）が実際に悪用されていると警告した。攻撃者は認証なしにOSコマンドをリモート実行でき、メールバックアップや認証情報の窃取を試みている。Shadowserver Foundationは274件のサーバー侵害を確認しており、現在も約1万台のインスタンスが稼働中だ。
Zimbraのメールコラボレーションスイートに存在する脆弱性CVE-2026-73570を悪用した攻撃が確認された。Microsoftが水曜日に公表した調査結果によると、この脆弱性は認証不要でOSコマンドのリモート実行を可能にするもので、攻撃者が細工したメールを送るだけで悪用できる。
具体的には、オプションの「zimbra-snmp」パッケージがインストールされ、SNMP通知が有効な環境で、攻撃者が特殊なSMTPリクエストを送信することでSNMP通知処理に悪意ある入力を注入できる。入力が適切にサニタイズされなければ、組み込まれたシェルコマンドがzimbraサービスアカウントの権限で実行されてしまう。
ZimbraのメンテナであるSynacorは7月20日にパッチを公開したが、脆弱性の詳細を3週間以上開示しなかった。7月28日から8月7日にかけてMicrosoftは、2種類の異なるスキャンツールが脆弱なエンドポイントをインターネット上で探索しているのを検出した。攻撃者はHTTP・DNS・ICMPなどを通じてエクスプロイトの成否を事前確認した後、実際にペイロードを展開する手順を踏んだ。
侵害後の攻撃活動には、JSP Webシェルやリバースシェルの設置、権限昇格、持続的なリモートアクセスツールの導入、メモリ上での実行が含まれる。さらにメールへのアクセスや認証情報・メールボックスデータの収集、アーカイブ作成と転送も観測された。自動化されたペイロード配布と手動操作の両方が確認されており、攻撃対象は特定の業界や地域に限定されない。
Shadowserver Foundationのスキャンでは、パッチ公開の翌週に約1万9,000台だったインスタンス数がその後約1万2,000台に減少し、現在は約1万台が追跡されている。うち274台への侵害が確認済みだ。Microsoftは攻撃者がデータを実際に外部流出させたかどうかは確認できていないとしており、攻撃者の帰属（国家支援型か金銭目的の犯罪者か）についても明らかにしていない。