Zimbra CVE-2026-73570: server di posta compromessi in Italia, fra ransomware, cryptominer e furto del database LDAP

ACN ha documentato il 5 ottobre 2026, in un proprio bollettino, una serie di compromissioni di server Zimbra Collaboration Suite esposti su internet in organizzazioni italiane, riconducibili in larga parte allo sfruttamento attivo della CVE-2026-73570. La vulnerabilità è una command injection nel componente che gestisce le notifiche SNMP: con una richiesta SMTP costruita ad arte, un attaccante non autenticato esegue comandi di sistema con i privilegi dell'utente zimbra. È raggiungibile solo dove è installato il pacchetto opzionale zimbra-snmp e sono attive le notifiche SNMP, una configurazione diversa da quella di default che però ricorre in quasi tutti i casi analizzati da ACN. Zimbra l'ha corretta con la versione 10.1.20 del 20 luglio 2026; CERT Polska ne ha segnalato lo sfruttamento il 17 agosto, la CISA l'ha inserita nel catalogo KEV il 21 agosto e a fine agosto la Shadowserver Foundation contava almeno 274 istanze compromesse nel mondo.

Il quadro tracciato da ACN mostra la stessa falla usata da attori diversi per scopi diversi. In due casi l'intrusione si è chiusa con un ransomware, in uno attribuito alla famiglia ELock, nota per colpire proprio le installazioni Zimbra; in tre con l'installazione di cryptominer, in un caso resi persistenti dal crontab dell'utente zimbra; in due con webshell JSP, e nel primo di questi l'attaccante ha esfiltrato il database LDAP, l'elenco delle caselle e gli hash delle password, mentre nel secondo la posta è rimasta ferma per 48 ore per oltre 6.000 utenti. Un altro server ha eseguito in memoria uno script Perl che tentava di contattare un server di comando via IRC, e uno ancora, probabilmente violato con la stessa falla, è stato trasformato in base per attacchi brute force SSH verso terzi. Accanto alla CVE-2026-73570 compaiono falle di anni fa mai corrette: la CVE-2024-45519, usata per un altro ransomware su un'istanza 8.8.15, e le CVE-2022-41352, CVE-2022-27925, CVE-2022-37042 e CVE-2023-38750. In un caso, su un server in dismissione rimasto esposto, l'attaccante ha reimpostato le password di tutte le caselle ospitate. Il dato più utile per chi difende chiude la sintesi di ACN: nessuna intrusione riuscita su istanze regolarmente aggiornate.

Zimbra è diffuso fra enti locali, scuole, università, aziende sanitarie e provider di posta in hosting, spesso in installazioni curate da un fornitore esterno e aggiornate di rado; nei casi italiani buona parte dei sistemi colpiti girava su rami obsoleti e non più supportati. A doversene preoccupare è chi gestisce un server Zimbra raggiungibile da internet, a partire da chi ha installato zimbra-snmp per il monitoraggio, e chi ha ancora in rete server di posta che dovevano essere spenti. In più casi gli attaccanti hanno mantenuto l'accesso senza diventare root, con attività pianificate e chiavi SSH dell'utente zimbra: l'aggiornamento chiude la porta ma non svuota la casa, e va accompagnato dalla ricerca delle persistenze. Eravamo tornati su Zimbra in un nostro precedente alert del 22 aprile, per un XSS della Classic UI sfruttato via email, e questa è la seconda campagna sul territorio nazionale documentata da ACN in poche settimane, dopo i defacement di siti Joomla di cui avevamo scritto in un nostro precedente alert del 17 settembre.

• Versioni affette: Zimbra Collaboration Suite precedenti alla 10.1.20 con pacchetto zimbra-snmp installato e notifiche SNMP abilitate (CVE-2026-73570); le istanze precedenti alla 10.1.1 e alla 10.0.9 e quelle dei rami 9.0 e 8.8.15 senza la Patch 41, esposte anche alle vulnerabilità più vecchie sfruttate nei casi italiani.
• Azione raccomandata: aggiornare alla 10.1.20 o successive e migrare i rami non più supportati; se l'aggiornamento non è immediato, disinstallare o disattivare zimbra-snmp; cercare le persistenze dell'utente zimbra (voci non autorizzate nel suo crontab, chiavi non censite nel file authorized_keys della sua directory ssh, file JSP non attesi nella cartella pubblica dell'applicazione web Jetty di Zimbra, script con nomi che iniziano per swatchdog_script e snmpc nella cartella temporanea dei dati di Zimbra, binari sospetti nelle cartelle temporanee di sistema) e, come indica CERT Polska, le righe «Service status change» con contenuti anomali nel log principale zimbra.log; in caso di riscontro, ruotare le credenziali di tutte le caselle e degli account amministrativi e revocare sessioni e chiavi SSH; non esporre su internet la porta amministrativa 7071, filtrare il traffico in uscita dal server e spegnere o isolare i server dismessi.

Fonti: ACN, Zimbra, CERT Polska, Shadowserver, CISA, Help Net Security