Invasores estão explorando uma falha de injeção de comandos identificada como CVE-2026-73570 (Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades) no Zimbra Collaboration Suite. A brecha permite comprometer servidores de e-mail expostos à internet sem qualquer interação do usuário.
A equipe Microsoft Threat Intelligence observou invasores implantando webshells, escalonando privilégios, coletando segredos de autenticação e preparando dados de caixas de correio em organizações de diversas regiões e setores.
Falha zero-click no Zimbra
O ataque “zero-click” depende de o pacote opcional zimbra-snmp estar instalado e de as notificações SNMP (Simple Network Management Protocol, protocolo simples de gerenciamento de rede) estarem ativadas. Um e-mail especialmente criado pode disparar a execução de comandos com a conta de serviço do Zimbra, dando aos invasores um ponto de apoio inicial, sem credenciais e sem que os destinatários precisem abrir conteúdo malicioso.
A vulnerabilidade surge quando uma entrada SMTP (Simple Mail Transfer Protocol, protocolo simples de transferência de e-mails) controlada pelo invasor, contendo metacaracteres de shell, chega ao processamento de notificações SNMP do Zimbra. Durante o monitoramento do estado dos serviços, o utilitário swatchdog incorpora a entrada maliciosa a uma chamada de shell do snmptrap, permitindo a execução de comandos embutidos do sistema operacional.
A Zimbra lançou uma correção para o problema na versão 10.1.20 em 20 de julho de 2026, antes da divulgação pública, feita em 13 de agosto. A Microsoft observou atividade de sondagem contra o vetor de injeção entre 28 de julho e 7 de agosto, o que indica tentativas de exploração após a disponibilização da correção, mas antes de a falha se tornar pública.
Os invasores validaram a execução por meio de callbacks HTTP (Hypertext Transfer Protocol, protocolo de transferência de hipertexto), DNS (Domain Name System, sistema de nomes de domínio) e ICMP (Internet Control Message Protocol, protocolo de mensagens de controle da internet) para serviços de interação. Algumas sondagens HTTP carregavam o User-Agent distintivo ZB73570, enquanto subdomínios de callback aleatórios ajudaram a confirmar a exploração bem-sucedida.
Após a exploração, os invasores reconstruíram cargas codificadas e implantaram webshells JSP (JavaServer Pages) nos diretórios do Jetty e do mailboxd. Eles alteraram temporariamente as permissões do webroot e depois as restauraram, para minimizar evidências durante verificações básicas de permissão. Outras táticas incluíram o download de scripts, o estabelecimento de reverse shells e a execução de comandos na memória.
A Microsoft documentou casos de escalonamento de privilégios envolvendo auxiliares legítimos de serviço do Zimbra, um diretório de logs do gerenciador de caixas de correio com permissão de escrita e a configuração do PAM (Pluggable Authentication Modules, módulos de autenticação plugáveis) do sudo.
Os invasores manipularam a propriedade de arquivos e exploraram um hook pam_exec para obter acesso sudo irrestrito e sem senha. Em seguida, restauraram o conteúdo das configurações e mantiveram seus privilégios elevados.
A persistência envolveu a criação do zimlog.service, uma unidade systemd disfarçada, instalada fora dos diretórios de aplicação do Zimbra. Os invasores alteraram seus timestamps para imitar serviços existentes e ativaram a execução na inicialização do sistema. Eles também reutilizaram a identidade SSH (Secure Shell, protocolo de shell seguro) do Zimbra e o rsync para distribuir ferramentas e webshells entre nós confiáveis do cluster.
Uma cadeia de payloads separada implantou o instalador zimdown2, escrito em Go, e o agente de acesso remoto zimclient2. O agente oferecia suporte a shells interativos, transferência de arquivos, proxy SOCKS5 (protocolo de proxy de sessões de rede versão 5) e diversos métodos de comunicação, incluindo WebSocket, TLS (Transport Layer Security, segurança da camada de transporte) ou TCP (Transmission Control Protocol, protocolo de controle de transmissão) puro.
Os invasores tinham como alvo credenciais de serviços centralizados e atributos LDAP (Lightweight Directory Access Protocol, protocolo leve de acesso a diretórios), incluindo zimbraPreAuthKey, zimbraAuthTokenKey e zimbraTwoFactorAuthSecret.
Um implante em Go específico para o Zimbra também exportou conteúdo de bancos de dados e copiou certificados, chaves privadas e arquivos de configuração. Materiais de assinatura de tokens roubados poderiam permitir a personificação de contas sem a necessidade de senhas individuais.
Em um dos servidores, os operadores arquivaram backups de caixas de correio e usaram o AzCopy para transferi-los a um destino no Azure Blob. A Microsoft confirmou a coleta dos dados e uma tentativa de exfiltração, embora a transferência não tenha sido bem-sucedida.
Administradores são orientados a atualizar para o Zimbra versão 10.1.20 ou posterior. Quando a aplicação imediata da correção não for possível, a Microsoft recomenda remover o pacote zimbra-snmp e desativar as notificações SNMP.
Equipes de defesa devem investigar alertas de reverse shell, inspecionar todos os nós de caixas de correio em busca de webshells JSP redundantes, revisar serviços systemd inesperados e alterações no sudo, além de rotacionar os segredos de autenticação do Zimbra. A Microsoft alertou que a cadeia de ataque envolve múltiplos comprometimentos e que hosts individuais podem não exibir todas as etapas documentadas.
Indicadores de comprometimento
Indicadores de rede
Hashes de arquivos (SHA-256)
Observação: endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlink acidental. A refiguração deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou SIEM (Security Information and Event Management, gerenciamento de informações e eventos de segurança).
