📮 Zimbra: эксплуатируемая уязвимость без участия пользователя, если установлен SNMP-пакет. Патч вышел ещё в июле

Коллеги, среда. Zimbra в России стоит у многих — проверяем.

📌 ФАКТЫ (Microsoft Threat Intelligence)
CVE-2026-73570 — уязвимость в Zimbra Collaboration Suite, атака возможна без учётной записи и без действий получателя

Условие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления

Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия

После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу zimlog.service и охотились за секретами аутентификации Zimbra

🛠 ПРОВЕРКА
Bash

su - zimbra -c 'zmcontrol -v'                    # версия
rpm -qa | grep zimbra-snmp || dpkg -l | grep zimbra-snmp
systemctl list-unit-files | grep -i zimlog       # подозрительная служба
grep -rn pam_exec /etc/pam.d/                    # неожиданные хуки PAM

🛡 ПЛАН
Обновиться до 10.1.20+

Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления

Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения

При находках — сменить секреты аутентификации Zimbra и пароли администраторов

💡 В ЧЁМ СУТЬ

Необязательные пакеты, которые поставили «на всякий случай», увеличивают поверхность атаки. Не используете SNMP-мониторинг Zimbra — пакету не место на сервере.

#zimbra #mail #security #linux #sysadmin #admin_future