黑客利用Zimbra严重漏洞窃取邮件 CVE-2026-73570紧急修复指南

据Ars Technica报道，黑客正在利用Zimbra协作套件（ZCS）中的一个严重漏洞，试图窃取脆弱组织的电子邮件备份和身份验证凭据。微软于2026年9月30日发布安全警告，披露了代号为CVE-2026-73570的零日漏洞，该漏洞允许未经身份验证的攻击者远程执行操作系统命令。安全机构Shadowserver Foundation扫描发现，已有274个独立ZCS实例被攻陷，全球仍有约1万台服务器未更新补丁，面临持续入侵风险。

漏洞核心：无需凭证即可操控服务器

CVE-2026-73570存在于ZCS的可选组件zimbra-snmp中。当SNMP通知功能启用时，攻击者只需发送一封特制的SMTP请求，即可向SNMP通知处理流程注入恶意输入。微软解释称：“如果输入未经过充分净化，嵌入的shell命令将以zimbra服务账户的权限执行。”该漏洞的严重性在于攻击者无需任何身份验证，只需通过互联网向目标邮件服务器发送一封构造好的邮件，就能远程植入命令。Zimbra维护方Synacor于2026年7月20日发布了补丁（版本10.1.20），但直到三周后才公开漏洞详情，导致期间大量服务器暴露在风险之中。

攻击活动：从探测到全面入侵

微软安全团队在2026年7月28日至8月7日期间，检测到两个不同的扫描工具在互联网上搜索易受攻击的ZCS端点。攻击者首先通过HTTP请求、DNS、ICMP以及基于公共服务的带外身份验证检查来验证漏洞利用是否成功。确认漏洞有效后，攻击者开始利用命令注入能力部署恶意负载。微软在其报告中详细描述了后续行为：“成功利用后，观察到部署JSP网页后门和反向Shell、权限提升、持久化远程访问工具以及内存执行。威胁行为者还访问了电子邮件，收集认证数据和邮箱数据，并创建归档文件随后进行传输。活动包括自动化的负载投递和手动键盘操作。受影响的组织遍及多个地区和行业。”微软表示，无法确认攻击者是否已将窃取数据成功外传，也未透露攻击者的具体身份（国家行为体或经济犯罪者）。

受影响范围：数千台服务器仍暴露

安全监控组织Shadowserver Foundation持续跟踪ZCS漏洞影响情况。其公开数据显示，在补丁发布后第一周，全球运行ZCS的服务器数量约为1.9万台；随后几周下降至约1.2万台；截至2026年9月29日，仍有约1万台实例在线。Shadowserver确认其中274台服务器已被成功入侵。受影响最严重的地区集中在北美、欧洲和亚太地区，涉及政府、教育、中小企业等多个行业。微软调查的案例显示，攻击并非局限于单一行业或地域，表明这是一次广泛且系统性的攻击活动。

攻击链时间表（2026年）

下表梳理了本次事件的关键时间节点：

修复与防护建议

所有ZCS管理员应立即确认软件版本，如果低于10.1.20，必须立即升级。微软还提供了额外的安全加固指南，包括：禁用不必要的zimbra-snmp组件（如果未使用）；严格限制SNMP通知的输入源；监控服务器上的异常HTTP请求和Shell进程；检查系统中是否存在未知Web后门。由于漏洞仅影响启用了SNMP通知且安装了zimbra-snmp包的服务器，企业可临时关闭该组件以降低风险。微软提醒，即使已经打了补丁，也应检查操作系统日志和邮件服务器日志，寻找可疑的访问模式。

FAQ

Q1: 我的Zimbra服务器是否一定需要安装zimbra-snmp包才会受影响？

A1: 是的。CVE-2026-73570仅影响已安装可选组件zimbra-snmp并且启用了SNMP通知功能的系统。如果未安装该组件或未启用SNMP通知，则不受此漏洞影响。但建议所有用户仍升级到最新版本，以防其他潜在风险。

Q2: 如何确认我的服务器是否已被入侵？

A2: 可检查以下迹象：服务器上出现未知的JSP文件（位于web目录下）；系统日志中有异常的SMTP请求；zimbra服务账户的异常进程或网络连接；邮件归档文件被意外创建并传出。微软建议使用端点检测与响应（EDR）工具辅助分析。

总结与展望

Zimbra协作套件的这个严重命令注入漏洞（CVE-2026-73570）已成为2026年最具破坏力的邮件服务器威胁之一。尽管补丁已发布两个多月，仍有大量服务器未更新，且攻击者已掌握成熟的利用链。企业应优先评估自身暴露面，立即升级并加强日志监控，防范数据泄露风险。