Ein Patch existierte einen Monat, bevor jemand angriff
Zimbra veröffentlichte am 20. Juli 2026 einen Fix für CVE-2026-73570, doch CERT Polska bestätigte eine aktive Ausnutzung derselben Lücke erst am 21. August 2026 - eine Lücke von 28 Tagen, in denen jeder ungepatchte Server einer live ausnutzbaren, unauthentifizierten Angriffskette ausgesetzt war.
Die Schwachstelle trägt einen CVSS-Wert von 8.9 und ist eine Command-Injection-Lücke im Betriebssystem, die jede Version der Zimbra Collaboration Suite (ZCS) vor 10.1.20 betrifft - jener Version, die Zimbra am 20. Juli 2026 gezielt zu ihrer Schließung veröffentlichte.
Der Fehler steckt in einem Add-on, das viele Admins vergessen
Die Lücke liegt darin, wie die Zimbra Collaboration Suite SNMP-Trap-Benachrichtigungen über einen Hintergrunddienst namens swatchdog verarbeitet, der nur läuft, wenn das optionale Paket zimbra-snmp installiert und SNMP-Benachrichtigungen über den Parameter snmp_notify aktiviert sind.
Eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei dieser SNMP-Verarbeitung erlaubt es einem unauthentifizierten Angreifer, eine speziell präparierte Anfrage zu senden, die beliebige Betriebssystembefehle mit den Rechten des Benutzers zimbra ausführt - ganz ohne Login.
Washington bekam drei Tage Frist; Europa bekam keine
Am 21. August 2026 nahm die US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) CVE-2026-73570 in ihren Katalog bekannter ausgenutzter Schwachstellen auf, wodurch gemäß der Binding Operational Directive 22-01 eine verbindliche Frist von drei Tagen ausschließlich für US-Bundesbehörden ausgelöst wurde, ohne jede entsprechende Frist für andere Zimbra-Betreiber.
| Datum | Ereignis |
|---|---|
| 20. Juli 2026 | Zimbra veröffentlicht Version 10.1.20 und schließt CVE-2026-73570 |
| 21. August 2026 | CERT Polska bestätigt aktive Ausnutzung in freier Wildbahn |
| 21. August 2026 | CISA nimmt die Lücke in den KEV-Katalog auf |
| 24. August 2026 | US-Bundesbehörden müssen gemäss BOD 22-01 nachbessern |
Diese Drei-Tage-Frist lässt sich nicht exportieren: Ein Zimbra-Betreiber in Deutschland, Polen oder Frankreich muss sich seine eigene Frist setzen, denn CISAs Direktive bindet ausschließlich US-Bundesbehörden.
Zimbra ist in Europa verbreitet - aus demselben Grund, der es zum Ziel macht
Die Zimbra Collaboration Suite ist eine verbreitete selbst gehostete Alternative zu Microsoft Exchange bei europäischen kleinen und mittleren Unternehmen, Universitäten und öffentlichen Stellen, die sie gezielt gewählt haben, um ihre Mail-Infrastruktur von US-Hyperscalern unabhängig zu halten - und genau diese selbst gehostete, budgetbewusste Gruppe ist am wenigsten von einer externen Pflicht zum Patchen betroffen.
Dieses Fehlen einer externen Frist, nicht irgendeine besondere Schwäche von Zimbra selbst, erklärt, warum genau die Gruppe, die am ehesten noch eine ältere ZCS-Version mit aktiviertem SNMP-Add-on betreibt, auch am wenigsten wahrscheinlich diese Warnung überhaupt bemerkt.
Was CERT Polska rät, heute auf dem eigenen Server zu prüfen
CERT Polskas Warnung gibt Betreibern eine Möglichkeit, zu prüfen, ob sie bereits betroffen waren, nicht nur, ob sie inzwischen gepatcht haben - beginnend mit dem Zimbra-Protokoll selbst: Prüfen Sie /var/log/zimbra.log auf auffällige Stopp- und Neustart-Zyklen des Zimbra-Dienstes, die laut CERT Polska das Muster eines bösartigen Befehls sind, der sich als gewöhnlicher Dienst-Neustart tarnt.
Prüfen Sie anschließend /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ und /tmp/ auf Dateien, die in den letzten 30 Tagen erstellt wurden und die Sie nicht erklären können, bestätigen Sie Ihre ZCS-Version und aktualisieren Sie auf 10.1.20, falls noch nicht geschehen, und entfernen Sie das Paket zimbra-snmp vollständig, wenn Ihre Organisation SNMP-Trap-Benachrichtigungen gar nicht nutzt, statt es installiert und unkonfiguriert zu belassen - niemand wird Ihnen dafür eine Frist setzen.
Weiterlesen: Eine deutsche SPS ist jetzt ein aktives Cyberziel | CISA gibt TrueConf-Nutzern drei Tage zum Patchen
