Die kritische Zimbra-Schwachstelle CVE-2026-73570 erlaubt Angreifern unautorisierten Zugriff auf Enterprise-Mail-Systeme. Welche Sofortmaßnahmen und Incident-Response-Schritte jetzt für betroffene Unternehmen entscheidend sind.

Kritische Zimbra-Schwachstelle CVE-2026-73570 (CVSS 8,9) ermöglicht unauthentifizierte Remote-Code-Ausführung: Angreifer nutzten die Lücke zwischen dem 28. Juli und 7. August 2026 aktiv aus und installierten persistente Web-Shells auf unternehmenskritischen Mail-Servern (Microsoft Threat Intelligence, 30.09.2026). Für mittelständische E-Commerce-Unternehmen mit Zimbra Collaboration vor Version 10.1.20 besteht akutes Handlungsgebot: Angreifer können ohne Authentifizierung vollständige Systemkontrolle erlangen, Mailbox-Daten exfiltrieren sowie Authentifizierungsgeheimnisse wie zimbraPreAuthKey und zimbraTwoFactorAuthSecret stehlen. Die CISA nahm CVE-2026-73570 am 21. August 2026 in ihre KEV-Liste auf. Sofortiges Patchen oder Deaktivieren des zimbra-snmp-Pakets ist zwingend erforderlich.

Zimbra Zero-Day CVE-2026-73570: Unauthentifizierte Code-Ausführung auf Enterprise-Mail-Servern

Kern des Vorfalls: Zimbra Collaboration-Versionen vor 10.1.20 weisen eine kritische Schwachstelle auf, die es Angreifern erlaubt, ohne Authentifizierung beliebigen Schadcode auf dem Mailserver auszuführen. CISA hat CVE-2026-73570 am 21. August 2026 in die Known Exploited Vulnerabilities (KEV)-Liste aufgenommen. Der CVSS-Score beträgt 8.9.

Was ist passiert?

Zimbra hat offengelegt, dass bestimmte Versionen der Zimbra Collaboration Suite anfällig für eine unauthentifizierte Remote Code Execution (RCE) sind, sofern das optionale Paket zimbra-snmp installiert und der Parameter snmp_notify aktiviert ist. Ein speziell präpariertes SMTP-Paket reicht aus, um die verwundbare SNMP-Notification-Logik zu erreichen und Code mit den Rechten des Zimbra-Systembenutzers auszuführen.

Microsoft Threat Intelligence hat Angriffe im Zeitraum vom 28. Juli bis 7. August 2026 in mehreren Regionen und Branchen dokumentiert. Die Kampagne war laut Microsoft weder auf einen einzelnen Sektor noch auf eine bestimmte geografische Region beschränkt.

Betroffene Versionen: Zimbra Collaboration vor 10.1.20.

Beobachtete Angriffskette

Nach erfolgreicher Ausnutzung der Schwachstelle beobachteten Forscher von Aviatrix und Microsoft folgende Aktivitäten:

Deployment von JSP-Web-Shells zur dauerhaften Hintertür
Reverse Shells und persistente Remote-Access-Tools
Privilege Escalation auf dem kompromittierten Host
Zugriff auf Mailbox-Daten sowie Exfiltration von Authentifizierungsgeheimnissen
Diebstahl von zimbraPreAuthKey und zimbraTwoFactorAuthSecret
Erstellung von Archiven und anschließender Datentransfer

Die Angriffe umfassten sowohl automatisierte Payload-Auslieferung als auch manuelle “Hands-on-Keyboard”-Operationen auf den kompromittierten Systemen.

Vier praktische Implikationen für Entscheider

1. Sofortiger Patch auf Version 10.1.20 oder höher

Zimbra hat ein Update bereitgestellt. Alle Versionen vor 10.1.20 sind verwundbar, wenn zimbra-snmp installiert ist. Wer nicht sofort patchen kann, sollte als Workaround SNMP-Benachrichtigungen deaktivieren und prüfen, ob das zimbra-snmp-Paket tatsächlich benötigt wird. Etablierte Prozesse für automatisierte Sicherheitspatches und Patch-Management reduzieren das Zeitfenster zwischen Disclosure und Remediation erheblich.

2. Kompromittierte Systeme vollständig untersuchen, nicht nur patchen

Ein aufgespieltes Update beseitigt die Schwachstelle, nicht aber bereits installierte Web-Shells oder Backdoors. Betroffene Organisationen müssen eine forensische Überprüfung aller exponierten Systeme durchführen: Web-Shell-Suche im Zimbra-Verzeichnisbaum, Analyse unbekannter Prozesse und Netzwerkverbindungen, Rotation aller auf dem Server gespeicherten Geheimnisse. Prozesse zur Incident Response und Infrastruktur-Überwachung sollten bereits vor einem Vorfall definiert sein.

3. Gestohlene Credentials konsequent invalidieren

Laut Aviatrix haben Angreifer gezielt zimbraPreAuthKey und zimbraTwoFactorAuthSecret erbeutet. Diese Tokens ermöglichen dauerhaften Zugriff auch nach einem Passwort-Reset. Betroffene Unternehmen müssen alle Pre-Authentication-Keys neu generieren, Zwei-Faktor-Secrets zurücksetzen und aktive Sessions invalidieren. Wer Zimbra als Identity-Provider für weitere Systeme einsetzt, muss auch diese auf unautorisierten Zugriff prüfen.

4. Angriffsfläche dauerhaft reduzieren

Internet-exponierte Mailserver sind ein bevorzugtes Angriffsziel, weil sie erreichbar sein müssen und oft privilegierten Zugriff auf Kommunikation und Identitätsdaten haben. Automatisierte Vulnerability-Scans und Sicherheitswarnungen helfen, neue Schwachstellen frühzeitig zu erkennen. Zudem sollte geprüft werden, ob optionale Pakete wie zimbra-snmp auf Produktionssystemen tatsächlich notwendig sind. Zero-Day-Schwachstellen betreffen regelmäßig weit verbreitete Enterprise-Software; eine minimale Angriffsfläche ist die wirksamste strukturelle Gegenmassnahme.

Quellen

Zimbra vulnerability CVE-2026-73570: find impacted assets – runZero
Unauthenticated command injection on internet-facing mail servers: tracking CVE-2026-73570 – Microsoft Threat Intelligence
Zimbra Email Servers Under Attack: CVE-2026-73570 Enables Web Shell Deployment and Credential Theft – Aviatrix, veröffentlicht 30. September 2026

Häufige Fragen

Was genau ist CVE-2026-73570 und welche Systeme sind betroffen?

CVE-2026-73570 ist eine unauthentifizierte OS-Command-Injection-Schwachstelle im SNMP-Benachrichtigungspfad von Zimbra Collaboration Suite. Betroffen sind alle Versionen vor 10.1.20, sofern das Paket zimbra-snmp installiert und der Parameter snmp_notify aktiviert ist. CVSS-Score: 8.9 (hoch). Die Schwachstelle steht seit 21. August 2026 auf der CISA-KEV-Liste.

Wie läuft ein Angriff über diese Schwachstelle konkret ab?

Angreifer senden eine manipulierte SMTP-Nachricht an den Zimbra-Server. Diese erreicht den verwundbaren SNMP-Handler und ermöglicht ohne Authentifizierung vollständige Remote-Code-Ausführung. Microsoft beobachtete zwischen dem 28. Juli und 7. August 2026 mehrstufige Angriffe: Deployment von JSP-Web-Shells, Privilegieneskalation, persistente Fernzugriff-Tools sowie Exfiltration von Mailbox-Daten und Auth-Tokens.

Welche Daten können Angreifer nach einer erfolgreichen Kompromittierung stehlen?

Laut Microsoft Threat Intelligence exfiltrierten Angreifer E-Mail-Inhalte, Authentifizierungstoken wie zimbraPreAuthKey und zimbraTwoFactorAuthSecret sowie weitere Mailbox-Daten. Die gestohlenen Credentials ermöglichen potenziell weitergehende Angriffe auf verbundene Systeme und Identitäten im Unternehmensnetzwerk.

Welche Sofortmaßnahmen sind nach einer Kompromittierung einzuleiten?

Priorität eins ist das Update auf Zimbra Collaboration 10.1.20 oder höher. Parallel sollten betroffene Server isoliert, aktive Web-Shells identifiziert und entfernt werden. Alle gespeicherten Credentials und Auth-Tokens sind als kompromittiert zu betrachten und müssen rotiert werden. Mailbox-Logs sind auf Datenabfluss zu prüfen. Das SNMP-Paket sollte deaktiviert werden, sofern nicht betrieblich erforderlich.

Welche Branchen und Regionen sind laut Microsoft besonders betroffen?

Microsoft stellte fest, dass die Angriffe weder auf eine bestimmte Branche noch auf eine geografische Region beschränkt sind. Betroffene Organisationen wurden in mehreren Regionen und Sektoren identifiziert. Die Angriffe umfassten sowohl automatisierte Payload-Auslieferung als auch manuelle Operationen auf kompromittierten Mail-Servern.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.

Zimbra Zero-Day CVE-2026-73570: Mail-Sicherheit und Incident-Response