Microsoft: Zimbra-mailservers kort na uitkomen van patch gehackt

In dit artikel:

Aanvallers hebben kort na het uitbrengen van een patch op 20 juli misbruikgemaakt van een kwetsbaarheid in Zimbra-mailservers. Microsoft meldt dat de aanvallen plaatsvonden voordat het beveiligingslek op 13 augustus openbaar werd. De Shadowserver Foundation schatte eerder dat wereldwijd ongeveer vierhonderd Zimbra-servers waren gehackt.

Het gaat om CVE-2026-73570 in de SNMP-monitoring van Zimbra. Als het zimbra-snmp-pakket is geïnstalleerd en SNMP-notificaties zijn ingeschakeld, kan een niet-geauthenticeerde aanvaller via speciaal gemaakte verzoeken willekeurige commando’s uitvoeren. Deze instellingen staan niet standaard aan.

De aanvallers installeerden webshells en andere mechanismen om toegang te behouden, zoals SSH-sleutels, lokale accounts en nieuwe services. Vervolgens stalen ze onder meer inloggegevens, authenticatiesleutels en de inhoud van alle mailboxen. Microsoft noemt geen exact aantal slachtoffers, maar zegt dat organisaties in meerdere sectoren en regio’s zijn getroffen.