CVE-2026-73570: 274 Zimbra-Server kompromittiert - jetzt handeln
Über CVE-2026-73570 können Angreifer unauthentifiziert Befehle auf Zimbra-Servern ausführen, sofern das optionale Paket zimbra-snmp installiert und SNMP-Benachrichtigungen aktiviert sind. Shadowserver zählte am 22.08.2026 bereits 274 kompromittierte Instanzen sowie mindestens 8200 ungepatchte, erreichbare Server. Der Patch liegt seit dem 20.07.2026 in ZCS 10.1.20 vor. Der Artikel zeigt Betroffenheit, Sofortmaßnahmen und Prüfschritte.
Ihr Zimbra Collaboration Server ist betroffen, wenn das optionale Paket zimbra-snmp installiert ist und SNMP-Benachrichtigungen aktiviert sind, und wenn keine ZCS-Version ab 10.1.20 läuft. In diesem Fall sollten Admins die Lücke CVE-2026-73570 als aktiv ausgenutzt behandeln, sofort patchen und Logs seit dem 26.06.2026 auf Anzeichen einer Kompromittierung prüfen. Die Zahl der bereits kompromittierten Systeme zeigt, dass diese Schwachstelle keine theoretische Gefahr ist, sondern in der Praxis aktiv missbraucht wird.
Nicht betroffen ist ein System, wenn zimbra-snmp nicht installiert ist, SNMP-Benachrichtigungen deaktiviert sind oder bereits ZCS 10.1.20 beziehungsweise neuer im Einsatz ist. In diesem Fall besteht kein akuter Handlungsbedarf über die übliche Patch-Pflege hinaus, eine Kontrolle der Konfiguration und ein Blick in die Logs schaden dennoch nicht, da sich Einstellungen im Betrieb ändern können.
Was ist CVE-2026-73570
CVE-2026-73570 ist eine unauthentifizierte Command-Injection-Schwachstelle in der optionalen SNMP-Komponente von Zimbra Collaboration Server. Ist zimbra-snmp installiert und sind SNMP-Benachrichtigungen aktiviert, können Angreifer ohne Anmeldung Befehle mit den Rechten des Zimbra-Prozesses ausführen. Damit ist im schlimmsten Fall die vollständige Kontrolle über den betroffenen Server möglich, inklusive Zugriff auf E-Mail-Postfächer, Konfigurationsdateien und gespeicherte Zugangsdaten.
Die Erstoffenlegung der Schwachstelle datiert auf den 26.06.2026, der offizielle Patch folgte rund vier Wochen später am 20.07.2026 mit ZCS 10.1.20. Zwischen Offenlegung und Patch sowie in den Wochen danach vergingen also mehrere Wochen, in denen verwundbare Systeme einem erhöhten Risiko ausgesetzt waren. Da SNMP-Notifications über das Netzwerk erreichbar sind, genügt in vielen Fällen bereits ein Portscan, um verwundbare Instanzen zu finden.
Wer ist betroffen
Betroffen sind ausschließlich Zimbra-Installationen, bei denen das SNMP-Modul aktiv genutzt wird. Da SNMP-Monitoring bei Zimbra kein Standardbestandteil ist, sondern separat installiert und konfiguriert werden muss, ist der Kreis der verwundbaren Systeme kleiner als bei Kernkomponenten. Trotzdem zeigt die Zahl von mindestens 8200 ungepatchten, öffentlich erreichbaren Servern, dass SNMP-Notifications in der Praxis häufiger aktiv sind als vermutet, etwa weil Monitoring-Lösungen wie Nagios oder Zabbix darauf zurückgreifen.
- ZCS-Version vor 10.1.20 im Einsatz
- Paket zimbra-snmp ist installiert
- SNMP-Benachrichtigungen sind aktiviert
- SNMP-Dienst ist aus dem Internet erreichbar
- Keine Firewall-Beschränkung auf interne Netze vorhanden
Wer eines dieser Kriterien mit Ja beantwortet, sollte den Server als verwundbar einstufen und die im Folgenden beschriebenen Maßnahmen priorisiert umsetzen. Eine schnelle Bestandsaufnahme aller Zimbra-Instanzen im eigenen Netzwerk ist dabei der erste sinnvolle Schritt, insbesondere in größeren Umgebungen mit mehreren Mailservern.
Ausmaß laut Shadowserver
Die Shadowserver Foundation meldete am 22.08.2026 insgesamt 274 kompromittierte Zimbra-Instanzen weltweit sowie mindestens 8200 verwundbare, ungepatchte Server, die weiterhin aus dem Internet erreichbar sind. Diese Zahlen stammen aus automatisiertem Internet-Scanning und dürften die tatsächliche Betroffenheit eher unterschätzen, da nicht alle Systeme aus dem öffentlichen Internet erreichbar oder eindeutig als Zimbra identifizierbar sind.
Details zum konkreten Threat Actor, eingesetzten Payloads und einem möglichen Datenabfluss liegen bislang nicht vor und sind als unbestätigt zu behandeln. Bestätigt ist bislang nur die Anzahl kompromittierter und verwundbarer Systeme, nicht der Umfang eines möglichen Datenzugriffs oder die Identität der Angreifer. Administratoren sollten diese offenen Punkte im Blick behalten und Updates zur Lage im Auge behalten, ohne auf eine vollständige Aufklärung zu warten, bevor sie handeln.
| Kennzahl | Wert | Status |
|---|---|---|
| Kompromittierte Instanzen | 274 | Bestätigt (Shadowserver, 22.08.2026) |
| Ungepatchte verwundbare Server | mind. 8200 | Bestätigt (Shadowserver, 22.08.2026) |
| Erstoffenlegung | 26.06.2026 | Bestätigt |
| Patch verfügbar | ZCS 10.1.20, 20.07.2026 | Bestätigt |
| Threat Actor | unbekannt | Unbestätigt |
| Datenabfluss | offen | Unbestätigt |
Sofortmaßnahmen für Admins
Wer eines der oben genannten Betroffenheitskriterien erfüllt, sollte umgehend handeln. Die folgenden Schritte lassen sich weitgehend parallel und in dieser Reihenfolge priorisiert abarbeiten, wobei das Einspielen des Patches immer erste Priorität haben sollte:
- Update auf ZCS 10.1.20 oder neuer einspielen
- Alternativ zimbra-snmp deinstallieren, falls kein Monitoring benötigt wird
- Alternativ SNMP-Benachrichtigungen deaktivieren, falls das Paket bleibt
- SNMP-Zugriff per Firewall strikt auf interne Netze beschränken
- Logs seit dem 26.06.2026 auf ungewöhnliche Aktivitäten prüfen
Auch wenn der Patch installiert wird, ersetzt das nicht die Prüfung, ob das System zuvor bereits kompromittiert wurde. Gerade bei Servern, die seit der Erstoffenlegung im Juni ungepatcht und ohne Firewall-Einschränkung erreichbar waren, ist eine gründliche Nachkontrolle unverzichtbar.
Kompromittierung erkennen und reagieren
Da konkrete Payloads bislang nicht öffentlich dokumentiert sind, empfiehlt sich eine breite Prüfung statt einer gezielten Signatursuche. Besonderes Augenmerk gilt Prozessen, die vom Zimbra-Nutzerkontext aus gestartet wurden, sowie Veränderungen an Cronjobs und Webverzeichnissen, in denen sich Webshells verstecken können.
- Verdächtige oder unbekannte Prozesse im Zimbra-Kontext identifizieren
- Cronjobs auf unautorisierte Einträge kontrollieren
- Webverzeichnisse auf Webshells und unbekannte Dateien durchsuchen
Besteht der Verdacht einer Kompromittierung, reicht das Einspielen des Patches allein nicht aus. Betroffene Systeme sollten forensisch untersucht und alle potenziell exponierten Zugangsdaten als kompromittiert behandelt werden, bevor der Server wieder in den regulären Betrieb geht.
- Secrets und API-Keys, die auf dem Server gespeichert waren, rotieren
- System nach Bereinigung neu härten und Monitoring verschärfen
Für die technische Absicherung von SNMP-Diensten und Firewall-Regeln bieten sich weiterführende Grundlagen zu E-Mail-Sicherheit an, ebenso lohnt sich bei einer Neuaufsetzung ein Blick auf den eigenen Mailserver mit Docker als gehärtete Alternative mit deutlich kleinerer Angriffsfläche.
Passende Anleitungen auf S-EDV
Wer den eigenen Mailserver grundlegend absichern oder neu aufsetzen möchte, findet ergänzende Hintergrundartikel in der Kategorie E-Mail sowie eine praktische Anleitung zum Aufbau eines eigenen Mailservers mit Docker als Alternative zu einer klassischen Zimbra-Installation.
Für die technischen Details zu CVE-2026-73570 und den aktuellen Stand der Angriffe dienen folgende Quellen:
