Se usi Zimbra, il 21 agosto ha cambiato il rischio

Una patch esisteva da un mese prima che qualcuno attaccasse

Zimbra ha rilasciato una correzione per CVE-2026-73570 il 20 luglio 2026, e CERT Polska non ha confermato lo sfruttamento attivo della stessa falla fino al 21 agosto 2026, un divario di 28 giorni durante i quali ogni server non aggiornato è rimasto esposto a una catena di exploit attiva e senza autenticazione.

La vulnerabilità ha un punteggio CVSS di 8.9 ed è una falla di command injection del sistema operativo che colpisce ogni versione di Zimbra Collaboration Suite (ZCS) precedente alla 10.1.20, la versione che Zimbra ha rilasciato il 20 luglio 2026 proprio per chiuderla.

Il difetto vive in un componente aggiuntivo che molti amministratori dimenticano

La falla risiede nel modo in cui Zimbra Collaboration Suite elabora le notifiche SNMP tramite un servizio in background chiamato swatchdog, che gira solo quando il pacchetto opzionale zimbra-snmp è installato e le notifiche SNMP sono attivate tramite il parametro snmp_notify.

Una sanificazione insufficiente dell'input non attendibile durante quella elaborazione SNMP permette a un aggressore non autenticato di inviare una richiesta appositamente creata che esegue comandi arbitrari del sistema operativo con i privilegi dell'utente zimbra, senza bisogno di alcun login.

Washington ha avuto tre giorni di scadenza; l'Europa nessuna

Il 21 agosto 2026 l'agenzia statunitense CISA (Cybersecurity and Infrastructure Security Agency) ha aggiunto CVE-2026-73570 al proprio catalogo delle vulnerabilità sfruttate note, facendo scattare una scadenza vincolante di tre giorni ai sensi della Binding Operational Directive 22-01 per le sole agenzie federali civili statunitensi, senza alcuna scadenza equivalente per gli altri operatori di Zimbra.

Quella scadenza di tre giorni non è esportabile: un operatore Zimbra in Germania, Polonia o Francia deve fissarsi da solo la propria scadenza, perché la direttiva di CISA vincola soltanto le agenzie federali civili statunitensi.

Zimbra è diffuso in Europa per lo stesso motivo che lo rende un bersaglio

Zimbra Collaboration Suite è un'alternativa autogestita molto diffusa a Microsoft Exchange tra piccole e medie imprese europee, università ed enti pubblici che l'hanno scelta proprio per tenere la propria infrastruttura di posta lontana dalle piattaforme dei grandi fornitori statunitensi, e proprio quello stesso gruppo, autogestito e attento al budget, è quello meno esposto a un obbligo esterno che lo costringa ad aggiornare.

Questa assenza di una scadenza esterna, e non una debolezza particolare di Zimbra in sé, spiega perché il gruppo più probabile ad avere ancora una versione datata di ZCS con il componente SNMP attivo sia anche quello meno probabile a notare questo avviso.

Cosa consiglia CERT Polska di controllare oggi sul proprio server

L'avviso di CERT Polska offre agli operatori un modo per verificare se sono già stati colpiti, non solo se ora sono aggiornati, a partire dal registro stesso di Zimbra: controlla /var/log/zimbra.log alla ricerca di cicli sospetti di arresto e riavvio del servizio Zimbra, che CERT Polska indica come la firma di un comando dannoso eseguito camuffato da un normale riavvio del servizio.

Da lì, controlla /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/ alla ricerca di qualsiasi file creato negli ultimi 30 giorni che non riesci a spiegare, conferma la tua versione di ZCS e aggiorna alla 10.1.20 se non l'hai ancora fatto, e se la tua organizzazione non usa affatto le notifiche SNMP, rimuovi del tutto il pacchetto zimbra-snmp invece di lasciarlo installato e non configurato - nessuno ti manderà una scadenza per farlo.

Da leggere ora: Un PLC tedesco è ora un bersaglio informatico attivo  |  CISA da a TrueConf tre giorni per la patch