Microsoft Security Research сообщила о наблюдавшихся атаках на почтовые серверы Zimbra с использованием CVE-2026-73570. Уязвимость позволяет выполнить команду без авторизации в определённой конфигурации: если установлен дополнительный пакет zimbra-snmp и включены SNMP-уведомления.
Что известно об атаках
По данным Microsoft, после проникновения в разных расследованных средах злоумышленники размещали веб-оболочки, организовывали удалённый доступ, обращались к учётным данным и почтовой информации. Исследователи отдельно предупреждают: опубликованная цепочка объединяет наблюдения по нескольким инцидентам, и её стадии не следует приписывать каждому серверу.
Zimbra указывает версию 10.1.20 как содержащую исправление CVE-2026-73570. Администраторам интернет-доступных серверов стоит проверить версию и наличие условий для эксплуатации, обновить систему и изучить журналы за период возможного воздействия. Обновление устраняет уязвимость, но само по себе не отвечает на вопрос, был ли сервер взломан раньше.
Если есть признаки компрометации
До очистки системы важно сохранить журналы, конфигурацию, подозрительные файлы и данные о соединениях. Это позволит восстановить хронологию и оценить возможный доступ к почте. В новой статье собрали практический перечень материалов для расследования. При необходимости специалисты «Бизнес-Эксперт» проводят расследование инцидентов информационной безопасности.
Источники: Microsoft Security Research, 30.09.2026; Zimbra Security Advisories. Обзор «Бизнес-Эксперт» — 05.10.2026.