Angreifer nutzen eine gefährliche Sicherheitslücke in der weitverbreiteten E-Mail- und Groupware-Lösung Zimbra Collaboration Suite (ZCS) aus, um auf anfälligen Systemen eigenen Code einzuschleusen und auszuführen. Ein Update schließt die Lücke bereits seit Mitte Juli, wenn du eine Zimbra-Instanz betreibst, solltest du sie dringend absichern.
Ungepatchte SNMP-Verarbeitung als Einfallstor
Bei der ausgenutzten Schwachstelle handelt es sich um CVE-2026-73570. Mit einem CVSS-Wert von 8,9 verfehlt sie den Schweregrad kritisch nur knapp. Ursache ist laut Beschreibung eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Angreifer können ohne vorherige Authentifizierung speziell gestaltete SNMP-Anfragen übermitteln und dadurch auf anfälligen Zimbra-Servern eigene Befehle im Kontext des Zimbra-Nutzers ausführen. Damit die Lücke ausnutzbar ist, müssen allerdings das Paket zimbra-snmp installiert und die SNMP-Benachrichtigungen aktiviert sein.
Patch verfügbar, Angriffe laufen bereits
Als anfällig gelten alle Zimbra-Versionen vor 10.1.20. Diese Version wurde am 20. Juli veröffentlicht und enthält neben dem Patch gegen CVE-2026-73570 noch weitere Sicherheitskorrekturen. Da Angreifer die Lücke bereits aktiv ausnutzen, solltest du das Update dringend einspielen, sofern noch nicht geschehen. Das polnische Computer Emergency Response Team (Cert PL) hat kürzlich eine Angriffswarnung zu CVE-2026-73570 herausgegeben. Neben der Aktualisierung anfälliger Server empfiehlt es, die Zimbra-Protokolle sowie bestimmte Systemverzeichnisse auf Hinweise bereits erfolgter Angriffe zu durchsuchen und bei Bedarf weitere Maßnahmen einzuleiten.
Tausende Server weltweit erreichbar
Den Scans der Shadowserver Foundation zufolge sind aktuell weltweit mehr als 12.000 Zimbra-Server über das Internet erreichbar, davon etwa 4.400 in Europa und 800 in Deutschland. Wie viele davon noch ungepatcht und damit über CVE-2026-73570 angreifbar sind, ist unklar. Frühere Warnungen des BSI hatten jedoch gezeigt, dass viele deutsche Zimbra-Server häufig noch lange mit veralteten Versionen betrieben werden, ein Muster, das sich angesichts der laufenden Angriffe schnell rächen könnte.