Lỗ hổng command injection trên Zimbra Collaboration Suite bị khai thác tích cực
Vừa qua, tổ chức ứng cứu khẩn cấp máy tính quốc gia Ba Lan CERT Polska đã xác nhận lỗ hổng CVE-2026-73570 trên Zimbra Collaboration Suite (ZCS) đang bị khai thác tích cực trong thực tế. Lỗ hổng nằm trong thành phần xử lý SNMP notification của Zimbra, cho phép kẻ tấn công không cần xác thực thực thi lệnh OS tùy ý trên máy chủ email. Tính đến ngày 24/08/2026, Shadowserver Foundation ghi nhận 267 Zimbra instance đã bị xâm phạm, tập trung nhiều nhất tại Mỹ (46), Thụy Điển (21), Pháp (20), và Đức (17).
Thông tin chi tiết
Định danh lỗ hổng: CVE-2026-73570
Điểm CVSS(3.1): 8.9
Mức độ nghiêm trọng: HIGH – Nghiêm trọng cao
Mô tả: CVE-2026-73570 là lỗ hổng OS command injection (CWE-78) trong thành phần xử lý SNMP notification của Zimbra Collaboration Suite, cụ thể là trong service swatchdog thuộc gói tùy chọn zimbra-snmp. Lỗ hổng phát sinh do Zimbra không sanitize đúng cách dữ liệu đầu vào không tin cậy trong quá trình xử lý SNMP notification. Kẻ tấn công ẩn danh (unauthenticated attacker) có thể gửi các SMTP request được thiết kế đặc biệt khiến dữ liệu độc hại đi vào luồng xử lý SNMP notification và được thực thi như một phần của lệnh hệ điều hành, từ đó chạy lệnh tùy ý trên máy chủ với quyền của tài khoản zimbra. Điểm đặc biệt nguy hiểm là cuộc tấn công không yêu cầu đăng nhập, không cần địa chỉ email hợp lệ, không cần biết bất kỳ thông tin nào về người dùng trên hệ thống, chỉ cần một packet được craft đúng cách gửi tới máy chủ là đủ để thiết lập foothold. Kẻ tấn công sau khai thác thường ghi JSP backdoor vào thư mục webroot của Zimbra Jetty (
/opt/zimbra/jetty/webapps/zimbra/), sau đó truy cập qua HTTP để spawn child process, thực hiện mailbox enumeration, thu thập credential từ LDAP, và lateral movement vào hạ tầng nội bộ.Phiên bản bị ảnh hưởng: Zimbra Collaboration Suite trước 10.1.20, khi gói zimbra-snmp được cài đặt và SNMP notifications được bật
Bản vá phát hành: ZCS 10.1.20
Zimbra Collaboration Suite (ZCS) là nền tảng email và collaboration server mã nguồn mở được triển khai rộng rãi trong môi trường doanh nghiệp, cơ quan chính phủ, tổ chức giáo dục và nhà cung cấp dịch vụ email trên toàn cầu. ZCS cung cấp các dịch vụ email, lịch, danh bạ, tác vụ, và chia sẻ tài liệu, tích hợp chặt chẽ với Active Directory/LDAP và thường là trung tâm liên lạc nội bộ của tổ chức. Không giống các ứng dụng web thông thường, mail server là hệ thống đặc biệt nhạy cảm: nó lưu trữ credential (password trong email, reset link, 2FA code), thông tin liên lạc nội bộ confidential, hợp đồng, trao đổi pháp lý, và thường kết nối trực tiếp với AD/LDAP, tạo ra đường tấn công trực tiếp vào identity infrastructure của tổ chức.
CVE-2026-73570 nguy hiểm vì nó nhắm vào thành phần SNMP monitoring, một thành phần phụ trợ thường bị quản trị viên bỏ quên. SNMP (Simple Network Management Protocol) là giao thức giám sát hạ tầng mạng tiêu chuẩn, và gói zimbra-snmp cho phép Zimbra gửi cảnh báo khi có sự kiện hệ thống xảy ra. Vì đây là tính năng monitoring trong nền, không phải tính năng người dùng tương tác, nhiều quản trị viên không nhớ rằng nó đang chạy hoặc không biết rằng nó tạo ra một attack surface từ bên ngoài Internet.
Lỗ hổng bắt nguồn từ lỗi thiếu sanitization trong luồng xử lý notification: khi Zimbra nhận được một sự kiện cần gửi SNMP notification, dữ liệu từ sự kiện đó được đưa vào một lệnh shell mà không được làm sạch, cho phép kẻ tấn công nhúng ký tự đặc biệt (;, $(), backtick) để thoát khỏi lệnh gốc và thực thi lệnh tùy ý. Vector tấn công đặc biệt nguy hiểm vì đi qua SMTP (port 25) thay vì web interface, nghĩa là nó bypass nhiều lớp bảo vệ web thông thường.
Tổng quát quá trình khai thác CVE-2026-73570
Quá trình khai thác có thể được chia thành các giai đoạn sau:
Thu thập thông tin (Reconnaissance)
Mục tiêu: Xác định các Zimbra Collaboration Suite server đang bị lộ Internet với gói zimbra-snmp được cài và SNMP notifications được bật.
Hành động: Kẻ tấn công quét Internet tìm Zimbra server (port 25/SMTP, 443/HTTPS, 8443). Sử dụng Shodan, Censys hoặc công cụ scan để xác định phiên bản ZCS từ banner hoặc response header. Kiểm tra version, nếu trước 10.1.20, server có khả năng vulnerable. Vì hơn 12.000 Zimbra instance bị lộ công khai, đây là target-rich environment cho automated scanning.
Craft SMTP Request Độc hại (Exploitation)
Kẻ tấn công gửi SMTP request được thiết kế đặc biệt tới mail server Zimbra.
Request chứa dữ liệu được craft để khi Zimbra xử lý và tạo SNMP notification từ sự kiện này, dữ liệu độc hại được đưa vào luồng command execution của swatchdog mà không bị sanitize.
Ký tự đặc biệt trong payload (
;,$(command), backtick) thoát khỏi lệnh shell gốc và inject lệnh OS của kẻ tấn công.
Thực thi Lệnh OS (Command Execution)
Lệnh độc hại được thực thi với quyền của tài khoản zimbra, tài khoản service vận hành toàn bộ Zimbra stack.
Tài khoản zimbra thường có quyền đọc toàn bộ mailbox data, cấu hình LDAP, certificate, và nhiều tài nguyên nhạy cảm khác.
Cài đặt Backdoor (Persistence)
- Kẻ tấn công ghi JSP backdoor (webshell) vào thư mục webroot của Zimbra Jetty:
/opt/zimbra/jetty/webapps/zimbra/[filename].jsp
Webshell được truy cập qua HTTP/HTTPS, cho phép thực thi lệnh tiếp theo mà không cần tái khai thác lỗ hổng SNMP.
CERT Polska cung cấp danh sách các file được tạo và log entries điển hình là IOC của hành vi này.
- Hậu khai thác (Post-Exploitation)
Mailbox enumeration: Liệt kê và đánh cắp toàn bộ email của tất cả người dùng trên hệ thống.
Credential harvesting từ LDAP: Truy cập Zimbra LDAP directory để thu thập account credential, hash, và thông tin xác thực.
Thu thập 2FA code và reset link từ email đang được lưu trên server, có thể sử dụng để compromise tài khoản trên các dịch vụ khác.
Lateral movement: Sử dụng credential thu thập được để pivot vào các hệ thống nội bộ khác, đặc biệt là Active Directory nếu Zimbra tích hợp AD.
Intelligence gathering: Đọc email nội bộ để thu thập thông tin về cấu trúc tổ chức, chiến lược kinh doanh, và thông tin nhạy cảm, đặc biệt nguy hiểm với cơ quan chính phủ và tổ chức quốc phòng.
Khuyến nghị & Khắc phục
Zimbra đã phát hành bản vá trong ZCS 10.1.20 và CISA đã đưa CVE-2026-73570 vào danh sách KEV. Đội ngũ FPT Threat Intelligence khuyến nghị người dùng và quản trị viên cần cân nhắc thực hiện ngay các hành động sau:
Cập nhật bản vá khẩn cấp: Nâng cấp ngay lên Zimbra Collaboration Suite 10.1.20 hoặc phiên bản mới hơn. Vì đã có hơn 267 server đã bị xâm phạm, ngay cả khi chưa phát hiện dấu hiệu tấn công, cần coi patching là ưu tiên khẩn cấp cấp 1.
Kiểm tra và vô hiệu hóa SNMP nếu không cần thiết (Immediate Mitigation): Nếu chưa thể vá ngay, loại bỏ attack surface bằng cách:
Gỡ cài đặt gói zimbra-snmp nếu không có nhu cầu SNMP monitoring.
Tắt SNMP notifications trong cấu hình Zimbra.
Chặn traffic SNMP (port 161/UDP, 162/UDP) từ Internet tại firewall.
Săn tìm dấu hiệu xâm phạm (Threat Hunting): CERT Polska đã công bố danh sách log entries và file IOC điển hình. Thực hiện ngay:
Tìm kiếm JSP file bất thường trong
/opt/zimbra/jetty/webapps/zimbra/, đặc biệt là các file được tạo sau ngày 17/08/2026.Rà soát Zimbra mailbox log (
/opt/zimbra/log/) tìm các SMTP connection đáng ngờ hoặc command execution bất thường.Kiểm tra process tree của tiến trình zimbra, tìm child process bất thường (shell, Python, curl, wget, netcat).
Rà soát LDAP access log tìm các query bất thường hoặc bulk credential dump.
Kiểm tra các outbound connection mới từ Zimbra server tới IP bên ngoài không nhận dạng.
Kiểm tra Cấu hình SMTP: Rà soát SMTP log từ ngày 20/07/2026 (ngày phát hành bản vá) trở lại để phát hiện các SMTP request có payload bất thường, đặc biệt là các request chứa ký tự shell injection (
;,`,$().Ngắt kết nối Internet (nếu phát hiện compromise): Isolate Zimbra server khỏi mạng nội bộ và Internet ngay lập tức. Treat toàn bộ mailbox data và LDAP credential như đã bị compromise, thực hiện forced password reset cho tất cả người dùng. Audit và thu hồi toàn bộ active session. Engage DFIR firm để forensic investigation chuyên sâu.
Giám sát liên tục: Thiết lập alert cho việc tạo file JSP mới trong webroot Zimbra, thay đổi cấu hình SNMP, và các SMTP connection bất thường từ IP không thuộc whitelist nội bộ.
Phòng ngừa dài hạn: Hạn chế truy cập SMTP từ Internet chỉ tới các IP cần thiết. Triển khai network segmentation để Zimbra server không có quyền truy cập trực tiếp vào toàn bộ mạng nội bộ. Thường xuyên audit các gói phần mềm được cài đặt trên Zimbra server, đặc biệt là các gói tùy chọn như zimbra-snmp.
