Se usa Zimbra, 21 de agosto mudou o seu risco

Uma correção existiu durante um mês antes de alguém atacar

A Zimbra lançou uma correção para a CVE-2026-73570 a 20 de julho de 2026, e o CERT Polska só confirmou exploração ativa da mesma falha a 21 de agosto de 2026, um intervalo de 28 dias durante o qual qualquer servidor não corrigido esteve exposto a uma cadeia de exploração ativa e sem autenticação.

A vulnerabilidade tem uma pontuação CVSS de 8.9 e é uma falha de injeção de comandos do sistema operativo que afeta todas as versões do Zimbra Collaboration Suite (ZCS) anteriores à 10.1.20, a versão que a Zimbra lançou a 20 de julho de 2026 precisamente para a fechar.

A falha vive num extra que muitos administradores esquecem

A falha reside na forma como o Zimbra Collaboration Suite processa as notificações SNMP através de um serviço em segundo plano chamado swatchdog, que só é executado quando o pacote opcional zimbra-snmp está instalado e as notificações SNMP estão ativadas através do parâmetro snmp_notify.

Uma sanitização insuficiente de dados não confiáveis durante esse processamento SNMP permite que um atacante não autenticado envie um pedido especialmente construído que executa comandos arbitrários do sistema operativo com os privilégios do utilizador zimbra, sem que seja necessário qualquer início de sessão.

Washington teve três dias de prazo; a Europa não teve nenhum

A 21 de agosto de 2026, a agência norte-americana CISA (Cybersecurity and Infrastructure Security Agency) acrescentou a CVE-2026-73570 ao seu catálogo de vulnerabilidades exploradas conhecidas, o que desencadeou um prazo vinculativo de três dias ao abrigo da Binding Operational Directive 22-01, aplicável apenas às agências federais civis dos EUA, sem qualquer prazo equivalente para os restantes operadores de Zimbra.

Esse prazo de três dias não é exportável: um operador de Zimbra na Alemanha, na Polónia ou em França tem de definir o seu próprio prazo, porque a diretiva da CISA vincula apenas as agências federais civis dos EUA.

O Zimbra é comum na Europa pela mesma razão que o torna um alvo

O Zimbra Collaboration Suite é uma alternativa autoalojada muito usada em vez do Microsoft Exchange entre pequenas e médias empresas europeias, universidades e organismos do setor público que a escolheram precisamente para manter a sua infraestrutura de correio fora das plataformas dos grandes fornecedores norte-americanos, e esse mesmo grupo, autoalojado e com orçamento limitado, é o que tem menos probabilidade de ter um mandato externo que o obrigue a corrigir.

Essa ausência de um prazo externo, e não qualquer fragilidade especial do próprio Zimbra, explica por que motivo o grupo com mais probabilidade de ainda ter uma versão antiga do ZCS com o extra SNMP ativado é também o grupo com menos probabilidade de reparar neste aviso.

O que o CERT Polska recomenda verificar hoje no seu próprio servidor

O aviso do CERT Polska dá aos operadores uma forma de verificar se já foram atingidos, não apenas se estão agora corrigidos, começando pelo próprio registo do Zimbra: verifique o /var/log/zimbra.log em busca de ciclos suspeitos de paragem e reinício do serviço Zimbra, que o CERT Polska identifica como a assinatura de um comando malicioso executado disfarçado de um reinício de rotina do serviço.

A partir daí, verifique /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/ em busca de qualquer ficheiro criado nos últimos 30 dias que não consiga explicar, confirme a sua versão do ZCS e atualize para a 10.1.20 se ainda não o fez, e se a sua organização não usar notificações SNMP, remova por completo o pacote zimbra-snmp em vez de o deixar instalado e por configurar - ninguém lhe vai enviar um prazo para o fazer.

Leia a seguir: Um PLC alemão é agora um alvo cibernético ativo  |  TrueConf: CISA dá apenas três dias para corrigir