Falha no Zimbra está a ser explorada e pode permitir execução remota de comandos

Uma vulnerabilidade no Zimbra Collaboration que pode permitir a execução remota de comandos já está a ser explorada no mundo real.

A falha, identificada como CVE-2026-73570, afeta versões anteriores à 10.1.20 em determinadas instalações que utilizam o componente opcional de monitorização SNMP.

A Zimbra corrigiu o problema a 20 de julho, com o lançamento da versão 10.1.20.

Quase um mês depois, a situação ganhou outra urgência: o CERT Polska comunicou exploração ativa a 17 de agosto e a CISA adicionou a vulnerabilidade ao catálogo Known Exploited Vulnerabilities quatro dias mais tarde.

Pedidos SMTP podem resultar na execução de comandos

A CVE-2026-73570 é uma vulnerabilidade de OS command injection no componente de monitorização SNMP do Zimbra Collaboration.

Segundo o registo CVE, um atacante sem autenticação pode enviar pedidos SMTP especialmente preparados que, quando estão reunidas as condições necessárias, podem resultar na execução de comandos do sistema operativo com os privilégios do utilizador zimbra.

Isto não significa que todas as instalações do Zimbra estejam vulneráveis.

O pacote opcional zimbra-snmp tem de estar instalado e as notificações SNMP têm de estar ativadas.

O CERT Polska acrescenta outra condição à exploração que observou: o serviço swatchdog deve estar em execução. Segundo o organismo, este serviço está ativo por predefinição.

A correção chegou em julho; a exploração foi confirmada em agosto

A cronologia é importante para perceber o risco.

A Zimbra publicou a versão 10.1.20 a 20 de julho, corrigindo a vulnerabilidade.

A 17 de agosto, o CERT Polska anunciou que estava a observar exploração ativa da CVE-2026-73570 e recomendou às organizações que verificassem as instalações potencialmente afetadas.

A CISA adicionou depois a falha ao catálogo KEV a 21 de agosto.

Nesse catálogo, o prazo de mitigação indicado foi 24 de agosto. Esse prazo aplica-se às entidades federais norte-americanas abrangidas pelas diretivas da CISA e não deve ser interpretado como uma data-limite universal para empresas ou organizações noutros países.

Ainda assim, a inclusão no KEV confirma uma mudança relevante: a vulnerabilidade já não é apenas um risco teórico.

A severidade exige alguma nuance

As próprias fontes oficiais não usam exatamente a mesma linguagem para descrever a gravidade da falha.

O registo CNA/MITRE atribui à CVE-2026-73570 uma pontuação CVSS 3.1 de 8,9, correspondente a severidade High.

Já a Zimbra, no anúncio da atualização 10.1.20, descreveu especificamente a vulnerabilidade SNMP como crítica, embora tenha classificado a severidade geral do patch como High.

Por isso, o Radar Futuro não trata “Critical” como a classificação CVSS oficial da vulnerabilidade.

O ponto mais importante para administradores não é a diferença de terminologia, mas o facto de existir exploração ativa de uma falha que pode levar à execução de comandos no servidor.

Atualizar e procurar sinais de eventual exploração

Perante a exploração observada, o CERT Polska recomenda verificar a versão instalada, aplicar a atualização e procurar indicadores que possam ajudar a identificar atividade anterior.

O organismo publicou referências a logs e diretórios que podem ser úteis nessa investigação.

Esses sinais não constituem, isoladamente, prova de compromisso. Devem ser tratados como elementos para análise por administradores e equipas de segurança.

Até ao momento, as fontes utilizadas pelo Radar Futuro não permitem estabelecer um número confirmado de servidores comprometidos, vítimas ou organizações afetadas.

Também não existe, nestas fontes, atribuição confirmada da campanha a um grupo específico.

Para quem mantém instalações Zimbra nas condições afetadas, a prioridade é por isso dupla: corrigir a vulnerabilidade e perceber se alguém a explorou antes da atualização.