Zimbra Collaboration Suiteにリモートコード実行の脆弱性「CVE-2026-73570」が判明、米CISAが悪用カタログに追加

要点

• 電子メール・コラボレーション基盤「Zimbra Collaboration Suite」に、リモートから任意のOSコマンドを実行される恐れのある脆弱性「CVE-2026-73570」が確認された。

• 影響を受けるのはバージョン10.1.20未満で、オプションのSNMPパッケージを導入し通知機能を有効にしている環境が対象となる。

• 共通脆弱性評価システム「CVSS v3.1」のベーススコアは8.9（重要度「HIGH」）と評価されている。

• 認証を持たない攻撃者が特別に細工したSMTPリクエストを送信することで、Zimbraユーザーの権限でOSコマンドを実行できる状態になっていた。

• 米CISAは本脆弱性の悪用を確認したとして「悪用が確認された脆弱性カタログ（KEV）」に登録し、期日までの対処を求めている。

• 米国の脆弱性情報データベース（NVD）および米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）が公開した情報によると、Synacorが提供するコラボレーションツール「Zimbra Collaboration Suite（ZCS）」において、リモートコード実行（RCE）が可能な重大な脆弱性「CVE-2026-73570」が存在することが明らかになった。本脆弱性は、認証されていない外部の攻撃者が細工したリクエストを送ることで、システム上で任意のコマンドを実行できる状態になるという。すでに実際の攻撃における悪用が確認されており、CISAは注意喚起を行うとともにカタログへの追加を発表している。

脆弱性の発生メカニズムと影響を受ける環境

今回特定された脆弱性「CVE-2026-73570」は、CWE分類において「CWE-78（OSコマンドで使用される特殊要素の不適切な無害化）」に該当する、OSコマンドインジェクション（OSに対して不正な命令を注入・実行させる攻撃手法）の脆弱性である。

対象となるのは、Synacorの「ZCS」のうちバージョン10.1.20未満の環境だ。具体的には、オプションとして提供されている「zimbra-snmp」パッケージが導入され、かつSNMP（ネットワーク機器などの状態監視や通知を行う通信規約）通知機能が有効化されている場合に本脆弱性の影響を受けるという。

問題の原因は、SNMP通知の処理プロセスにおいて、信頼できない入力値に対する適切なサニタイズ（危険な文字列や制御文字を無害化する処理）が行われていない点にある。これにより、認証を受けていない第三者が細工したSMTP（電子メールを送信・転送するためのプロトコル）リクエストを対象サーバーに送信することで、ZCSを実行している「Zimbra」ユーザー権限のもと、基盤となるオペレーティングシステム上で任意のコマンドを実行させられる恐れが生じている。

CVSS評価と深刻度スコア

脆弱性の深刻度を示す指標として、MITREによる共通脆弱性評価システム「CVSS v3.1」のベーススコアが算出されており、「8.9（重要度：HIGH）」と高い値が付けられている。

評価ベクター（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L）の内訳を見ると、ネットワーク経由でリモートから攻撃が可能（AV:N）であり、特権などの事前認証が不要（PR:N）、利用者の操作を介在させる必要もない（UI:N）とされている。攻撃条件の複雑さ（AC:H）は高いと評価されているものの、攻撃が成功した際の影響範囲が他のコンポーネントに及ぶスコープ変更（S:C）が発生し、機密性への影響（C:H）および完全性への影響（I:H）がいずれも「High（高）」、可用性への影響（A:L）が「Low（低）」と判定されている。

なお、NVDによるCVSS 4.0、CVSS 3.x、CVSS 2.0の独自評価は、現時点では「N/A」となっており正式な評価結果はまだ提供されていない。

CISAによる悪用カタログへの追加と評価ステータスの更新

本脆弱性は、すでに実際のサイバー攻撃において悪用されていることが確認されている。

米CISAは2026年8月21日付で、本件を「悪用が確認された脆弱性カタログ（KEV Catalog）」に追加した。同カタログへの登録に伴い、連邦政府機関や関連組織に対して2026年8月24日までの対応期日を設定し、適切な緩和策の適用を求めている。

公開された変更履歴によると、CISA-ADP（CISA Authorized Data Publisher）による意思決定支援分類「SSVC（脆弱性のトリアージと対応優先度を判断するための枠組み）」の評価において、2026年8月13日時点では悪用状況（exploitation）が「none（なし）」と記録されていた。しかし、8月21日の更新によりステータスが「active（悪用が進行中）」へと引き上げられた。技術的影響度（technicalImpact）については「total（全体的）」と評価されている。

また、ポーランドのサイバーセキュリティ対応機関であるCERT Polskaからも、ZCSにおける本脆弱性が活発に悪用されている旨を伝える第三者アドバイザリが公開されている。

公開されている情報と推奨事項

開発元であるZimbraのセキュリティセンターおよびセキュリティアドバイザリでは、リリースノートや関連するガイダンスが提示されている。

CISAの要請事項では、ベンダーが提示する指示に従って緩和策を適用することや、関連するセキュリティ指令（BOD 26-04など）に基づいた優先順位付けとリスク評価の実施が求められている。また、緩和策が利用できない場合には対象製品の使用停止を検討することや、各資産のインターネット露出状況を評価して適切なパッチ適用ガイドラインを遵守することが示されている。