Zimbra 치명적 취약점 악용, 이메일 탈취 공격 확산
원제: Attackers have been exploiting critical Zimbra flaw to steal emails
왜 중요한가
패치 배포 후에도 1만 개 이상의 Zimbra 서버가 노출된 상태로 운영 중이어서, 기업 이메일 인프라 보안 점검이 시급하다.
Microsoft는 2026년 9월 30일, 해커들이 Zimbra Collaboration Suite의 치명적 취약점(CVE-2026-73570)을 악용해 이메일 백업 및 인증 정보를 탈취하려 했다고 경고했다. Shadowserver Foundation 스캔 결과 274개 서버가 침해됐으며, 현재 약 1만 개의 Zimbra 인스턴스가 추적 중이다.
문제의 취약점 CVE-2026-73570은 인증 없이 원격에서 운영체제 명령을 실행할 수 있게 하는 결함이다. Zimbra 유지관리사 Synacor는 7월 20일 패치를 배포했으나, 그로부터 3주 이상이 지나서야 취약점 내용을 공개했다.
Microsoft에 따르면 7월 28일부터 8월 7일 사이에 두 개의 별도 스캐닝 도구가 취약한 엔드포인트를 인터넷 전체에서 탐색했다. 공격자들은 HTTP 요청과 DNS, ICMP 등 대역외 확인 방식을 통해 익스플로잇 작동 여부를 먼저 검증한 뒤, 실제 페이로드 설치 단계로 전환했다.
공격 흐름은 JSP 웹셸과 역방향 셸 설치, 권한 상승, 지속적 원격 접근 도구 배포, 메모리 기반 실행 순으로 이어졌다. 공격자들은 이후 이메일 백업을 생성하고 인증 정보 및 메일박스 데이터를 수집했으며, 수동 키보드 조작을 포함한 복합적 수법을 사용했다.
이 취약점은 선택적 zimbra-snmp 패키지가 설치되어 있고 SNMP 알림이 활성화된 환경에서만 작동한다. 공격자는 ZCS SNMP 알림 경로를 겨냥한 특수 제작된 SMTP 요청으로 셸 명령을 zimbra 서비스 계정 권한으로 실행할 수 있다. Microsoft는 영향을 받은 조직이 복수의 지역과 산업에 걸쳐 분포하며, 특정 부문이나 지역에 국한되지 않았다고 밝혔다. 다만 실제 데이터 유출 여부와 공격 주체(국가 배후 또는 금전적 동기)는 확인하지 못했다고 덧붙였다.