Mais de 270 servidores Zimbra comprometidos

Mais de 270 servidores Zimbra foram comprometidos em ataques que exploram uma vulnerabilidade de elevada gravidade no Zimbra Collaboration Suite (ZCS). A falha, identificada como CVE-2026-73570, permite a execução remota de código sem necessidade de autenticação.

A vulnerabilidade resulta de uma falha de command injection no componente de monitorização SNMP e pode ser explorada quando as notificações SNMP estão ativadas. A Synacor disponibilizou uma correção a 20 de julho, com o lançamento do ZCS 10.1.20.

O CERT Polska alertou, entretanto, para a exploração ativa da vulnerabilidade e recomendou às equipas de segurança que procurem indícios de atividade suspeita nos sistemas. Entre os sinais apontados estão reinícios inesperados do serviço Zimbra e a criação de ficheiros pelo utilizador Zimbra em determinadas pastas do sistema.

Mais de 8.200 instalações continuam por corrigir

A Shadowserver identificou 274 instalações comprometidas nas suas análises a artefactos associados à exploração da CVE-2026-73570, realizadas a 22 de agosto.

A organização detetou ainda pelo menos 8.200 instalações Zimbra expostas à Internet sem a correção aplicada. Este número não significa, contudo, que todas possam ser exploradas, uma vez que a vulnerabilidade depende de uma configuração que não está ativa por predefinição.

A Cybersecurity and Infrastructure Security Agency (CISA) adicionou também a CVE-2026-73570 ao catálogo de vulnerabilidades conhecidas e exploradas (KEV). As agências federais civis norte-americanas receberam instruções para corrigir os sistemas afetados até 24 de agosto.

As vulnerabilidades do Zimbra têm sido exploradas nos últimos anos tanto por grupos de cibercrime como por atores associados a Estados, incluindo em campanhas destinadas ao roubo de mensagens de correio eletrónico e credenciais.

Em março, investigadores da Seqrite Labs associaram ao grupo russo APT28 a exploração de uma vulnerabilidade de cross-site scripting (XSS) armazenado no Zimbra em ataques contra servidores governamentais ucranianos.

Outros grupos russos, incluindo APT29, também conhecido como Midnight Blizzard ou Cozy Bear, e Winter Vivern, foram anteriormente associados à exploração de vulnerabilidades em servidores e portais de webmail Zimbra.