Zimbra CVE-2026-73570: RCE non autenticata sfruttata prima della patch

Il 13 agosto 2026 è stata divulgata CVE-2026-73570, una vulnerabilità di command injection non autenticata in Zimbra Collaboration Suite che consente esecuzione remota di codice tramite un singolo pacchetto SMTP. Microsoft Threat Intelligence aveva già osservato attività di exploit attivo tra il 28 luglio e il 7 agosto, quando la patch era disponibile da una settimana ma gli amministratori non ne conoscevano ancora l'esistenza. La criticità del difetto non sta solo nel meccanismo di attacco, ma in un dettaglio tecnico che ha ingannato difensori e ricercatori: molti proof-of-concept pubblici sono tecnicamente difettosi, generando falsi negativi che fanno apparire un server vulnerabile come già corretto.

La catena di attacco: da una riga di log alla shell come utente zimbra

Il meccanismo descritto da Elastic Security Labs segue un percorso apparentemente semplice che nasconde una complessità sottile. L'attaccante invia un indirizzo destinatario malformato nel comando SMTP RCPT TO. Postfix lo registra in /var/log/zimbra.log, come fa con qualsiasi altro evento di posta. Il daemon Swatchdog, responsabile del monitoraggio dei log in ambienti Zimbra con il pacchetto opzionale zimbra-snmp installato e le notifiche SNMP abilitate, confronta le righe con pattern definiti nel file swatchrc.in.

Quando una riga corrisponde, Swatchdog compila il template in uno script Perl. Il valore del campo SERVICE, estratto dal messaggio snmptrap tramite la variabile $args{SERVICE}, viene inserito direttamente dentro backtick Perl e passato a /bin/sh. L'assenza di sanitizzazione nel percorso log → monitor → shell trasforma ogni input controllato dall'attaccante in un vettore di esecuzione arbitraria di comandi.

Secondo Elastic Security Labs, "one malformed recipient address is enough to trigger it". L'esecuzione avviene con i privilegi dell'utente zimbra: "The result is remote code execution as the zimbra user. The account reads every mailbox on the server and sends as any local identity".

"Microsoft Threat Intelligence identified and tracked exploitation of CVE-2026-73570, an unauthenticated OS command injection vulnerability in the Zimbra Collaboration Suite SNMP notification path"
— Microsoft Threat Intelligence

L'illusione della protezione: quando i PoC pubblici mentono

Un elemento distintivo di questa vulnerabilità è il gap tra apparenza e realtà nella validazione delle patch. Elastic Security Labs ha verificato che "several of the public proofs of concept (PoCs) we tested write a payload that Swatchdog never matches, so a failed test looks like a patched server". Il problema non è nella patch, ma nella comprensione del formato atteso dal pattern di Swatchdog: i payload pubblici inseriscono comandi nel log in una forma che il daemon non riconosce, quindi non attivano mai la fase di esecuzione.

Questo genera un rischio duplice. Da un lato, gli attaccanti che si affidano a PoC generici potrebbero concludere erroneamente che un bersaglio è protetto, rinunciando a un obiettivo in realtà vulnerabile. Dall'altro, i difensori che testano la propria infrastruttura con gli stessi strumenti pubblici ricevono un falso negativo, credendo di aver corretto il problema quando invece la superficie d'attacco rimane esposta. La validazione della patch richiede quindi una riproduzione accurata della catena completa, non l'esecuzione meccanica di script trovati online.

Exploit pre-disclosure: due settimane di attività in-the-wild non riconosciuta

Microsoft Threat Intelligence ha documentato attività malevola nell'intervallo 28 luglio – 7 agosto 2026, quando Zimbra 10.1.20 era già disponibile ma CVE-2026-73570 non era ancora pubblica. Durante questa finestra sono stati osservati "two distinct out-of-band scanning tools" progettati per confermare l'esecuzione remota senza consegnare payload completi. I probe effettuavano "local identity checks or dropping a small system fingerprint script", con callback a domini di out-of-band interaction come oast.fun, oast.online, dnslog.pp.ua e requestrepo.com.

Non è chiaro se gli scanning tool appartengano a un unico attore o a più gruppi distinti. Microsoft non ha effettuato attribuzioni specifiche e non specifica il numero esatto di organizzazioni colpite né la loro distribuzione geografica precisa. Ciò che è documentato è che le vittime si estendono a "multiple regions and sectors", indicando un interesse generalizzato piuttosto che una campagna mirata a obiettivi verticali specifici.

Le tecniche post-exploitation osservate includono webshell JSP, reverse shell, privilege escalation tramite abuso di zmmailboxdmgr e configurazioni PAM, persistenza systemd con timestomping, e raccolta di credenziali LDAP, MySQL e chiavi di autenticazione Zimbra. Microsoft descrive dettagliatamente come in alcuni casi l'attaccante abbia "replaced the legitimate zmmailboxd.out log with a symlink to the PAM configuration", aggiungendo un hook pam_exec e creando un'entry NOPASSWD: ALL per l'account zimbra.

Cosa fare adesso

• Verificare la presenza del pacchetto zimbra-snmp e lo stato delle notifiche SNMP: la vulnerabilità è esponibile solo quando entrambi sono attivi, non su tutte le installazioni Zimbra.
• Aggiornare a Zimbra 10.1.20 o versione successiva, rilasciata il 20 luglio 2026, che contiene la correzione per CVE-2026-73570.
• Validare l'efficacia della patch con una riproduzione tecnica completa della catena di attacco documentata da Elastic, evitando di affidarsi a PoC pubblici non verificati che generano falsi negativi.
• Rivisionare i log di /var/log/zimbra.log e le connessioni SMTP sospette nel periodo 28 luglio – 7 agosto 2026, con attenzione a pattern di scanning out-of-band e callback a domini di interaction noti.

Il problema più grande di una riga di log malevola

CVE-2026-73570 non è una vulnerabilità nel server SMTP o nel sistema di logging, ma nell'assunzione implicita che il contenuto di un file di log possa essere incorporato sicuro in un comando eseguibile. Swatchdog non è un componente esotico: è uno strumento di monitoraggio consolidato che, come molti altri, applica pattern a log e reagisce con azioni automatizzate. La falla è nel punto di giunzione tra due sistemi apparentemente indipendenti, dove il confine tra dati e codice si dissolve senza validazione intermedia.

L'attività pre-disclosure conferma che gli operatori di minacce monitorano attivamente le release dei vendor, estraendo informazioni sufficienti a costruire exploit funzionali anche senza advisory pubblici o dettagli tecnici completi. La conoscenza che una patch esiste, combinata con l'analisi dei delta tra versioni consecutive, offre una finestra temporale misurabile in giorni o settimane durante la quale i sistemi aggiornabili restano de facto vulnerabili per mancanza di consapevolezza operativa.

Domande frequenti

Tutte le versioni Zimbra precedenti alla 10.1.20 sono vulnerabili?

No. La vulnerabilità richiede che sia installato il pacchetto opzionale zimbra-snmp e che le notifiche SNMP siano abilitate. Installazioni senza questa configurazione specifica non espongono la superficie d'attacco documentata.

Perché i PoC pubblici possono essere fuorvianti?

Perché Swatchdog applica pattern precisi sui log e i payload generici non sempre riproducono il formato che attiva il match. Un test che non innesca l'esecuzione viene erroneamente interpretato come assenza di vulnerabilità, quando in realtà il server è ancora esponibile a una catena di attacco correttamente costruita.

Cosa significa "remote code execution as the zimbra user" in termini di impatto?

L'utente zimbra ha accesso a tutte le mailbox sul server e può impersonare qualsiasi identità locale. Secondo le osservazioni di Microsoft, gli attaccanti hanno raccolto chiavi crittografiche come zimbraPreAuthKey e zimbraAuthTokenKey, abilitando impersonazione persistente anche dopo la rimozione dell'accesso iniziale.

Fonti

• elastic.co
• microsoft.com