Zimbraの脆弱性を突くサイバー攻撃が判明、Webシェル設置や認証シークレット窃取の手口をMicrosoftが報告

要点

• コラボレーションツール「Zimbra Collaboration Suite」の未認証コマンドインジェクション脆弱性（CVE-2026-73570）を悪用したサイバー攻撃が確認された。

• 攻撃者は細工したメールを送信するだけで遠隔からコードを実行し、Webシェルやリバースシェルを配置していた。

• サーバー内の設定から認証情報を取得してLDAPから重要属性を抜き出し、クラスタ内の別ノードへ横移動する手口も判明した。

• Zimbraは2026年7月に修正パッチを提供済みであり、米CISAやポーランドCERTなども注意喚起を行っている。

• 米Microsoftのセキュリティ研究チーム（Microsoft Security Research）は、コラボレーションソフトウェア「Zimbra Collaboration Suite（ZCS）」の脆弱性を悪用したサイバー攻撃を確認したと発表した。攻撃者は修正済みのセキュリティ欠陥を突いてサーバーへ侵入し、Webシェルの設置やメールデータの収集、認証シークレットの窃取を行っていたという。被害は複数地域・業界の組織で観測されており、攻撃者の身元は特定されていないと報告されている。

悪用された脆弱性「CVE-2026-73570」の概要

悪用されたのは、ZCSに存在した脆弱性「CVE-2026-73570」（CVSSスコア：8.9）だ。SNMP（機器状態を監視するプロトコル）通知が有効で、オプションの「zimbra-snmp」パッケージが導入されている環境において、認証なしでOSコマンドインジェクション（不正な入力により任意のOSコマンドを実行させる攻撃）が可能になる。

攻撃者は、外部公開されたZimbraサーバーへ細工したSMTPリクエスト（電子メール）を送信するだけでコマンドを実行できる。認証やユーザー操作が不要なため、インターネットに露出したサーバーが直接狙われた。開発元のZimbraは、2026年7月20日リリースのバージョン10.1.20で本件の修正パッチを提供している。

脆弱性公開前のスキャンと侵入の手口

Microsoftのデータによると、攻撃活動はバージョン10.1.20公開（7月20日）から脆弱性の一般開示（8月13日）までの間に確認された。まず7月28日から8月7日にかけ、2種類の帯域外スキャンツールでコマンド実行の成否を検証するプロビングが行われていた。

その後、攻撃者は「zimbra」サービスアカウントの権限でコマンドを実行した。Jettyやmailboxdのパスに複数のJSP Webシェル（遠隔操作用の不正プログラム）を配置したほか、wgetやcurlで不正ファイルをダウンロードし、対話型リバースシェル（外部から操作を受け付ける接続）を確立した。一部ではGo言語製バイナリ「Zimdown2」用のシェルダウンローダーも使われていたという。

検知を避ける永続化と権限昇格

攻撃者はサーバーの制御を維持するため、cronやsystemdに加え、ディスクを介さずメモリ上で実行する「memfd_create」を悪用した。また、Webシェル配置時に公開ディレクトリの書き込み権限を一時的に有効化し、設置後に元へ戻すことで、基本的な権限チェックによる検知を回避する工作も行われていた。

さらに「/etc/pam.d/sudo」を改ざんして「zimbra」アカウントにパスワード不要の無制限sudo権限を付与し、起動時に自動実行される「zimlog.service」というsystemdサービスを登録して永続化を図っていた。

認証情報の窃取とクラスタ内での横移動

攻撃者は「zmprov」コマンドで環境内のノード構成を調査した。個別のメールパスワードではなく「zmlocalconfig -s」でサーバーの一括設定や認証シークレットを標的とし、取得した情報でLDAPへ認証クエリを実行。「zimbraPreAuthKey」「zimbraAuthTokenKey」「zimbraTwoFactorAuthSecret」といった重要属性を窃取した。

さらに「/opt/zimbra/.ssh/zimbra_identity」にある既存のSSH認証情報を悪用し、クラスタ内の他ノードへ横移動した。ノード間のファイル転送には「rsync」を用い、OpenSSLで暗号化した通信を通じてコマンド実行やメールデータのアーカイブ持ち出しを行っていた。

関係機関の対応と注意喚起

本脆弱性の悪用は2026年8月にポーランドCERT（CERT Polska）が初報告し、「/var/log/zimbra.log」の再起動ログや一時ディレクトリ内の不審ファイルを点検するよう呼びかけていた。その後、米CISAも悪用確認済み脆弱性カタログ（KEV）へ追加し、連邦機関に8月24日までの対応を義務付けている。