Um atacante não precisa de login, senha nem clique de ninguém. Basta mandar um e-mail. Essa é a CVE-2026-73570, uma falha crítica no Zimbra Collaboration Suite que já resultou em mais de 260 servidores comprometidos no mundo, segundo a Shadowserver Foundation, e vem sendo monitorada pelo CERT Polska desde meados de agosto.
A comunidade da Hackers Hive levantou essa análise: felipeold escreveu o relatório técnico abaixo, com apoio de hiratakun, no canal #threat-intel do nosso Discord. Peguei o trabalho deles, organizei pra formato de post e complementei com a cobertura pública sobre a exploração em massa. A análise da cadeia de ataque e dos payloads é pesquisa da comunidade.
O que é a vulnerabilidade
O Zimbra roda um daemon de monitoramento chamado Swatchdog, que fica lendo os logs do Postfix procurando por um padrão de texto específico pra disparar ações automáticas. O problema: qualquer pessoa que manda um e-mail pro servidor controla esse padrão de texto, e o Swatchdog não sanitiza esse conteúdo antes de repassar pra um shell.
Na prática: um remetente externo, sem credencial nenhuma, injeta comandos de sistema que rodam com os privilégios do usuário de serviço do Zimbra. Não precisa de clique, anexo ou login. O gatilho é uma mensagem SMTP.
A falha existe no componente opcional zimbra-snmp, no processamento de notificações SNMP. CVSS 8.9. Afeta instalações com esse pacote instalado e as notificações SNMP habilitadas, cenário mais comum do que parece em ambientes que herdaram configuração antiga.
Como a exploração funciona, passo a passo
- O atacante envia um e-mail (via
MAIL FROM/RCPT TO) contendo o texto exato que o Swatchdog está configurado para vigiar, com um comando de shell embutido usando substituição de variável$(...). - O Postfix recusa a mensagem por sintaxe inválida, mas isso não importa: ele registra a tentativa no log antes de rejeitar.
- O Swatchdog lê essa linha de log, reconhece o padrão monitorado e dispara sua ação configurada, tratando o conteúdo injetado como parte de um comando de shell legítimo.
- O comando roda com os privilégios do processo do Zimbra. Daí em diante, o corpo do e-mail é o payload: o atacante decide o que executa.
Pré-requisito pra exploração: o componente SNMP e o daemon Swatchdog precisam estar ativos no host. Em ambientes onde esse serviço foi habilitado por engano ou herdado de uma configuração antiga, a janela de exposição pode durar semanas antes de qualquer sintoma aparecer.
O que os atacantes já estão fazendo depois de entrar
Segundo o levantamento da Hackers Hive, múltiplos grupos independentes exploram essa falha em paralelo, com níveis de sofisticação bem diferentes. Os payloads observados se agrupam em quatro famílias:
- Backdoor fileless com C2: binário executado direto na RAM, sem tocar disco, mascarado como processo legítimo do sistema, com beacon periódico pra infraestrutura de CDN usada como fachada de C2.
- Cryptojacking via cron: script auto-replicante que mascara o nome do processo, mata mineradores concorrentes e recria sua própria entrada de cron a cada poucos segundos pra resistir à limpeza manual.
- Varredura em massa com webshells: ferramentas públicas de exploração plantam shells JSP genéricas em diretórios públicos do painel web, com nomes que imitam arquivos legítimos.
- Operação manual e direcionada: o ator mais avançado do grupo. Entrega em múltiplos estágios, forjamento de timestamp do arquivo malicioso, extração do arquivo de configuração com credenciais, remoção de shells de grupos rivais e fechamento do próprio vetor de entrada depois de garantir persistência.
Por que isso é grave
O arquivo de configuração local do Zimbra guarda credenciais de LDAP, banco de dados e conta administrativa. Se um atacante conseguiu ler esse arquivo, trate o ambiente inteiro como comprometido, não só o servidor de e-mail.
A técnica fileless evita detecção por antivírus tradicional e verificação de integridade de arquivos, porque não deixa binário em disco. E como vários grupos podem estar competindo pelo mesmo host ao mesmo tempo, um ator mais sofisticado pode remover as evidências de outro, mascarando a linha do tempo real do incidente.
Como se proteger agora
- Atualizar para Zimbra 10.1.20 ou superior, versão que corrige a CVE-2026-73570.
- Se o upgrade não for imediato, desabilitar o daemon Swatchdog como mitigação temporária: ele é pré-requisito direto do vetor.
- Rotacionar credenciais de LDAP, banco de dados e conta admin se houver qualquer suspeita de leitura do arquivo de configuração local.
- Monitorar processos com nomes de serviços do sistema (daemons de tempo, rede) rodando sob o usuário de serviço do Zimbra: sinal clássico de mascaramento.
- Implementar monitoramento de integridade de arquivos nos diretórios públicos da aplicação web pra pegar webshells novas.
- Auditar chaves SSH, contas e permissões administrativas do host. Presuma janela de acesso não detectada até prova em contrário.
Sobre essa análise
Esse tipo de trabalho, engenharia reversa da cadeia de exploração, catalogar os payloads que já estão em uso real, escrever a mitigação de forma que dê pra agir, é o que rola todo dia no #threat-intel da Hackers Hive. É análise de gente da comunidade sobre uma exploração acontecendo agora.
Glossário de siglas
| Sigla | Significado |
|---|---|
| RCE | Remote Code Execution (execução remota de código) |
| CVE | Common Vulnerabilities and Exposures |
| CVSS | Common Vulnerability Scoring System |
| SNMP | Simple Network Management Protocol |
| SMTP | Simple Mail Transfer Protocol |
| C2 | Command and Control |
| LDAP | Lightweight Directory Access Protocol |
| JSP | JavaServer Pages |
| CERT | Computer Emergency Response Team |
Conclusão: o que fazer com isso
Se você administra Zimbra, para agora e confere a versão. Se estiver abaixo de 10.1.20 e com o pacote SNMP ativo, você tem uma janela de exposição real, não teórica: mais de 260 servidores comprometidos já registrados em público. Atualize, desabilite o Swatchdog como mitigação enquanto isso, e rotacione credenciais se houver qualquer dúvida sobre leitura do arquivo de configuração.
O documento original
Baixe aqui o material original criado pelos pesquisadores. O aviso completo traz a cadeia de exploração passo a passo, as quatro famílias de payload observadas em ambientes reais e o checklist de mitigação na íntegra.
Referências
- Hackers Hive: análise original de felipeold e hiratakun, comunidade Discord, canal #threat-intel
- The Hacker News: Attackers Exploit Zimbra SNMP Flaw for Unauthenticated Remote Code Execution
- Security Affairs: Poland’s CERT Warns of Active Exploitation of Critical Zimbra Collaboration Suite Flaw
- Zimbra Blog: Patch Release Update: Zimbra 10.1.20
- runZero: Zimbra vulnerability CVE-2026-73570: find impacted assets
Entra na comunidade
Análises como essa saem primeiro no Discord, antes de virarem post. Se você quer discutir esse caso com quem escreveu o relatório, trocar ideia sobre outras CVEs em exploração ativa ou só acompanhar threat intel em tempo real, entra no nosso servidor: discord.com/invite/6h6D9W7DFj.
Seja o primeiro a comentar