黑客利用Zimbra严重漏洞窃取邮件 CVE-2026-73570紧急修复指南 - Zimbra协作套件曝远程命令注入漏洞CVE-2026-73570，黑客无需凭证即可窃取邮件备份。微软警告全球274台服务器已沦陷，附详细修复步骤与时间线。

黑客利用Zimbra严重漏洞窃取邮件 CVE-2026-73570紧急修复指南

2026-08-08 · Source: ougesa4y8.toploizolaciabg.com · 益智游戏

黑客利用Zimbra严重漏洞窃取邮件 C... Latest News

据Ars Technica报道，黑客正在利用Zimbra协作套件（ZCS）中的一个严重漏洞，试图窃取脆弱组织的电子邮件备份和身份验证凭据。微软于2026年9月30日发布安全警告，披露了代号为CVE-2026-73570的零日漏洞，该漏洞允许未经身份验证的攻击者远程执行操作系统命令。安全机构Shadowserver Foundation扫描发现，已有274个独立ZCS实例被攻陷，全球仍有约1万台服务器未更新补丁，面临持续入侵风险。

漏洞核心：无需凭证即可操控服务器

CVE-2026-73570存在于ZCS的可选组件zimbra-snmp中。当SNMP通知功能启用时，攻击者只需发送一封特制的SMTP请求，即可向SNMP通知处理流程注入恶意输入。微软解释称：“如果输入未经过充分净化，嵌入的shell命令将以zimbra服务账户的权限执行。”该漏洞的严重性在于攻击者无需任何身份验证，只需通过互联网向目标邮件服务器发送一封构造好的邮件，就能远程植入命令。Zimbra维护方Synacor于2026年7月20日发布了补丁（版本10.1.20），但直到三周后才公开漏洞详情，导致期间大量服务器暴露在风险之中。

攻击活动：从探测到全面入侵

微软安全团队在2026年7月28日至8月7日期间，检测到两个不同的扫描工具在互联网上搜索易受攻击的ZCS端点。攻击者首先通过HTTP请求、DNS、ICMP以及基于公共服务的带外身份验证检查来验证漏洞利用是否成功。确认漏洞有效后，攻击者开始利用命令注入能力部署恶意负载。微软在其报告中详细描述了后续行为：“成功利用后，观察到部署JSP网页后门和反向Shell、权限提升、持久化远程访问工具以及内存执行。威胁行为者还访问了电子邮件，收集认证数据和邮箱数据，并创建归档文件随后进行传输。活动包括自动化的负载投递和手动键盘操作。受影响的组织遍及多个地区和行业。”微软表示，无法确认攻击者是否已将窃取数据成功外传，也未透露攻击者的具体身份（国家行为体或经济犯罪者）。

受影响范围：数千台服务器仍暴露

安全监控组织Shadowserver Foundation持续跟踪ZCS漏洞影响情况。其公开数据显示，在补丁发布后第一周，全球运行ZCS的服务器数量约为1.9万台；随后几周下降至约1.2万台；截至2026年9月29日，仍有约1万台实例在线。Shadowserver确认其中274台服务器已被成功入侵。受影响最严重的地区集中在北美、欧洲和亚太地区，涉及政府、教育、中小企业等多个行业。微软调查的案例显示，攻击并非局限于单一行业或地域，表明这是一次广泛且系统性的攻击活动。

突发新闻

突发事件

攻击链时间表（2026年）

下表梳理了本次事件的关键时间节点：

日期	事件

---	---

7月20日	Synacor发布补丁版本10.1.20，但未公开漏洞详情

7月28日-8月7日	微软检测到两个扫描工具正在互联网探测ZCS服务器

8月上旬	攻击者开始利用漏洞植入JSP后门、反向Shell等恶意软件

9月底（30日）	微软公开披露漏洞CVE-2026-73570及攻击活动

9月29日	Shadowserver统计全球约有1万台ZCS实例在线，274台已确认被攻破

修复与防护建议

所有ZCS管理员应立即确认软件版本，如果低于10.1.20，必须立即升级。微软还提供了额外的安全加固指南，包括：禁用不必要的zimbra-snmp组件（如果未使用）；严格限制SNMP通知的输入源；监控服务器上的异常HTTP请求和Shell进程；检查系统中是否存在未知Web后门。由于漏洞仅影响启用了SNMP通知且安装了zimbra-snmp包的服务器，企业可临时关闭该组件以降低风险。微软提醒，即使已经打了补丁，也应检查操作系统日志和邮件服务器日志，寻找可疑的访问模式。