Zimbra-Schwachstelle ausgenutzt, um Webshells einzusetzen und Zugangsdaten zu stehlen

Eine kritische Sicherheitslücke in der Zimbra Collaboration Suite wird aktiv als Waffe eingesetzt, um die Kontrolle über E-Mail-Server zu übernehmen, wie das Microsoft Security Research Team berichtet. Die als CVE-2026-73570 katalogisierte Schwachstelle ermöglicht es nicht authentifizierten Angreifern, Betriebssystembefehle einzuschleusen und bösartigen Code aus der Ferne auszuführen. Dies geschieht, wenn SNMP-Benachrichtigungen (Simple Network Management Protocol) aktiviert und das optionale zimbra-snmp-Paket installiert ist. Die Schwachstelle wurde von Zimbra im Juli 2026 mit der Version 10.1.20 behoben, aber viele mit dem Internet verbundene Server bleiben weiterhin angreifbar.

Der Angriff beginnt mit einer speziell präparierten E-Mail, die über das Simple Mail Transfer Protocol (SMTP) versendet wird, den Standard für die E-Mail-Übertragung. Diese bösartige Nachricht zielt auf den verwundbaren Zimbra-Server ab, ohne dass ein Passwort oder eine Benutzerinteraktion erforderlich ist. Sobald die speziell geformte Anfrage den Server erreicht, erlaubt die Befehlseinschleusungsschwachstelle dem Angreifer, beliebige Systembefehle mit dem Dienstkonto auszuführen. Microsoft beobachtete erste Anzeichen von Sondierungsaktivitäten zwischen dem 28. Juli und 7. August 2026, als zwei verschiedene Out-of-Band-Scan-Tools beim Testen des Einschleusungspfads gesehen wurden, um die Remote-Code-Ausführung zu bestätigen, ohne jedoch eine vollständige Nutzlast zu liefern.

Nachdem sie Fuß gefasst haben, setzen die Bedrohungsakteure mehrere JavaServer Pages (JSP)-Webshells in verschiedenen Anwendungsverzeichnissen ein. Eine Webshell ist ein kleines Stück Code, das dem Angreifer ein browsergestütztes Bedienfeld auf dem kompromittierten Server gibt. Indem sie Kopien in den Pfaden von Jetty und mailboxd ablegen, sorgen die Eindringlinge für Redundanz. Sie verwenden auch Systemwerkzeuge wie wget oder curl, um zusätzliche Malware herunterzuladen und interaktive Reverse Shells einzurichten, die eine direkte Verbindung zurück zum Rechner des Angreifers öffnen und dabei Firewalls umgehen. Um verborgen zu bleiben, aktivieren einige Angreifer kurzzeitig den Schreibzugriff auf ein öffentliches Verzeichnis, platzieren die Webshell und stellen dann die ursprünglichen Berechtigungen wieder her, was die Veränderung bei routinemäßigen Überprüfungen schwerer erkennbar macht.

Die Aktivitäten nach der Kompromittierung sind umfangreich. Angreifer kartieren die Zimbra-Umgebung mit dem Befehl zmprov, um Mailbox- und Mail Transfer Agent-Knoten zu identifizieren. Sie prüfen auf den Zimbra-SSH-Identity-Key unter /opt/zimbra/.ssh/zimbra_identity, der verwendet werden kann, um sich lateral auf andere vertrauenswürdige Server im Cluster zu bewegen. Die Rechteausweitung erfolgt durch Ändern der Konfigurationsdatei /etc/pam.d/sudo, um dem Zimbra-Dienstkonto uneingeschränkten, passwortlosen sudo-Zugriff zu gewähren. Zur Persistenz richten sie einen systemd-Dienst namens zimlog.service ein, der beim Booten startet, während andere Ausführungsketten auf Cron-Jobs oder speichergestützte Ausführung über memfd_create setzen, einen Mechanismus, der Code vollständig im RAM ausführt, um keine Spuren auf der Festplatte zu hinterlassen.

Ein wichtiges Ziel sind Zimbras zentralisierte Authentifizierungsdaten. Die Angreifer führen den Befehl zmlocalconfig -s aus, um Dienstanmeldedaten zu extrahieren, und verwenden diese dann für authentifizierte LDAP-Abfragen, um hochwertige Geheimnisse wie zimbraPreAuthKey, zimbraAuthTokenKey und zimbraTwoFactorAuthSecret zu sammeln. Damit können sie Benutzer imitieren oder Authentifizierungsabläufe abfangen. Sie nutzen außerdem die SSH-Identität, um sich lateral über Knoten hinweg zu bewegen, und verwenden rsync, um Webshells und Hilfsskripte zu übertragen. In mindestens einer Kampagne lädt ein leichtgewichtiger Downloader namens Zimdown2 einen Go-basierten Fernzugriffsagenten namens Zimclient2 herunter, der eine interaktive Shell, bidirektionale Dateioperationen und SOCKS5-Proxying bietet – was den kompromittierten Server effektiv in einen Drehpunkt für tiefere Netzwerkeinbrüche verwandelt.

Der Datendiebstahl geht noch weiter. Eine separate, in Go geschriebene ausführbare Datei extrahiert die Anmeldedaten des Zimbra-Dienstkontos aus der lokalen Konfigurationsdatei und erstellt Verbindungszeichenfolgen für die von Zimbra und LDAP genutzte relationale Datenbank. Anschließend exportiert sie den Inhalt mehrerer Datenbanktabellen, darunter Mailbox-Metadaten, mobile Gerätedaten und alle Tabellen im Zimbra-Datenbank-Namensraum. Die gesammelten Dateien werden in ein ZIP-Archiv komprimiert. In einem Fall archivierte der Akteur aktuelle Mailbox-Backup-Inhalte und lud das AzCopy-Tool von Microsoft von einer offiziellen URL herunter, um Daten mithilfe einer Shared-Access-Signatur-URL an einen Azure Blob Storage-Endpunkt zu exfiltrieren. Microsoft weist darauf hin, dass die verfügbaren Beweise nicht bestätigen, dass der Transfer erfolgreich abgeschlossen wurde, die Aktivität jedoch eine klare Absicht zum Diebstahl von Mailbox-Inhalten zeigt.

Die Aktivität wurde erstmals im August 2026 vom polnischen Computer Emergency Response Team (CERT Polska) öffentlich gemeldet, das Administratoren aufforderte, Protokolle auf verdächtige Dienstneustarts zu überprüfen und nach unerwarteten Dateien in temporären und webapps-Verzeichnissen zu suchen. Später im selben Monat nahm die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-73570 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf und forderte Bundesbehörden auf, bis zum 24. August 2026 einen Patch einzuspielen. Die Telemetriedaten von Microsoft identifizierten die dokumentierte Angriffsaktivität im Zeitraum zwischen der Patch-Veröffentlichung am 20. Juli 2026 und der öffentlichen Bekanntgabe am 13. August 2026. Die Identität der Angreifer bleibt unbekannt.

Für Website-Betreiber und Unternehmen, die ihre eigene E-Mail-Infrastruktur betreiben, unterstreicht dieser Vorfall die Gefahr nicht gepatchter Kollaborationssoftware. Zimbra-Server stehen oft an der Grenze zwischen dem Internet und internen Netzwerken, was sie zu einem hochwertigen Ziel macht. Die sofortige Installation von Updates ist unerlässlich. Wenn das Patchen jedoch unmöglich ist, sind das Deinstallieren des zimbra-snmp-Pakets, das Deaktivieren von SNMP-Benachrichtigungen und die Einschränkung des SMTP- und SNMP-Zugriffs auf vertrauenswürdige Hosts wirksame Notlösungen. Unternehmen sollten außerdem alle Zimbra-Authentifizierungsgeheimnisse rotieren und gründlich nach Webshells suchen. Für diejenigen, denen es an interner Expertise mangelt, kann die Beauftragung eines sicherheitsorientierten IT-Infrastrukturdienstleisters wie AEU-I dazu beitragen, dass Patches zeitnah eingespielt werden, ungewöhnliches Serververhalten überwacht und Reaktionsverfahren vorhanden sind, bevor Angreifer zuschlagen.