Il 22 agosto le scansioni su Internet hanno contato 274 server Zimbra compromessi, contro i 155 di due giorni prima. Zimbra Collaboration Suite è una piattaforma di posta molto usata da aziende, università e pubbliche amministrazioni, e oltre 8.200 installazioni risultano ancora senza l’aggiornamento, anche se non tutte hanno la configurazione vulnerabile.
La falla, CVE-2026-73570, è una command injection in swatchdog, il componente di monitoraggio incluso nel pacchetto opzionale zimbra-snmp. Con messaggi SMTP costruiti ad arte, un attaccante senza credenziali esegue comandi sul server con i privilegi dell’utente zimbra, cioè con accesso a tutta la posta. Servono tre condizioni: il pacchetto zimbra-snmp installato, le notifiche SNMP attive con il parametro snmp_notify e swatchdog in esecuzione, come avviene di norma.
Due mesi di preavviso
La cronologia è la parte che dovrebbe far riflettere. Il 26 giugno Zimbra ha pubblicato l’avviso con una mitigazione temporanea. Il 20 luglio è uscita la versione 10.1.20 con la correzione definitiva. Il 17 agosto il CERT Polska ha confermato lo sfruttamento e pubblicato gli indicatori di compromissione, e il 21 agosto le autorità statunitensi hanno dato agli enti federali tre giorni per correggere.
Tra la correzione e i primi attacchi confermati è passato quasi un mese, e dall’avviso quasi due. Eppure migliaia di server sono ancora lì. Non è la prima volta: Zimbra è da anni uno dei bersagli preferiti dei gruppi di spionaggio, proprio perché molte installazioni vengono aggiornate tardi o mai. Chi ci sia dietro questa ondata, non è ancora stato detto.
Un server di posta compromesso espone le comunicazioni di tutta l’organizzazione. E diventa una base per phishing molto credibili verso clienti e fornitori, perché i messaggi partono da un indirizzo vero, dentro conversazioni vere.
Aggiorna Zimbra alla 10.1.20 o successiva. Se non usi il monitoraggio SNMP, spegni le notifiche o rimuovi del tutto il pacchetto zimbra-snmp: un componente che non usi è solo superficie d’attacco.
Poi, soprattutto se il server è rimasto esposto ad agosto, non fermarti alla patch. Cerca file JSP sconosciuti, processi anomali dell’utente zimbra e connessioni in uscita insolite. Se trovi segni di compromissione, cambia le password delle caselle e le credenziali amministrative, e valuta una reinstallazione pulita: su un server di posta violato, ripulire a mano raramente dà garanzie.
