AKTUELL
Zimbra-Sicherheitslücke CVE-2026-73570 wird aktiv ausgenutzt
Die Zimbra-Sicherheitslücke CVE-2026-73570 ist nicht mehr nur ein theoretisches Risiko in einer langen Patchliste. Das polnische CERT meldet laufende Angriffe, die US-Sicherheitsbehörde CISA führt die Schwachstelle inzwischen in ihrem Katalog nachweislich ausgenutzter Lücken, und die Shadowserver Foundation berichtete am 24. August von 274 Zimbra-Instanzen, die bei Scans anhand von Angriffsspuren als kompromittiert erfasst wurden. Für Betreiber betroffener Mailserver ist deshalb nicht nur das Update auf Zimbra Collaboration 10.1.20 oder neuer wichtig. Sie müssen zugleich klären, ob ein Angreifer bereits vor der Aktualisierung auf dem System aktiv war.
Betroffen ist eine bestimmte Zimbra-Konfiguration
Zimbra Collaboration bündelt E-Mail, Kalender, Kontakte und weitere Funktionen für Organisationen, Unternehmen und Betreiber eigener Kommunikationsplattformen. Nach den veröffentlichten Hinweisen betrifft CVE-2026-73570 Installationen vor Version 10.1.20, wenn das optionale Paket zimbra-snmp installiert ist und SNMP-Benachrichtigungen aktiviert sind. Das von CERT Polska zusätzlich genannte Überwachungsprogramm swatchdog läuft laut der Behörde standardmäßig. Eine öffentlich erreichbare Zimbra-Installation ist damit nicht automatisch verwundbar; entscheidend sind Version und Konfiguration.
Gerade diese Einschränkung darf jedoch nicht als Entwarnung missverstanden werden. In der Sicherheitsübersicht des Herstellers wird die Korrektur einer Command-Injection-Lücke in der SNMP-Überwachung für Version 10.1.20 aufgeführt. Die Schwachstelle entsteht bei der Verarbeitung nicht ausreichend bereinigter Eingaben für SNMP-Benachrichtigungen. Ein Angreifer ohne Benutzerkonto kann laut der veröffentlichten CVE-Beschreibung speziell präparierte SMTP-Anfragen senden und dadurch Betriebssystembefehle mit den Rechten des Zimbra-Systembenutzers ausführen lassen.
Aus einer Nachricht kann ein Befehl auf dem Server werden
Das Problem liegt somit nicht im Öffnen einer Mail durch einen unvorsichtigen Empfänger. Der Angriff richtet sich gegen den Server und setzt keine Anmeldung voraus. Trifft eine präparierte Anfrage auf die verwundbare Kombination aus Softwarestand und aktivierter Überwachungsfunktion, kann der Inhalt einen unerwünschten Systembefehl auslösen. Die Ausführung erfolgt zwar nicht automatisch mit den höchsten Rechten des Betriebssystems, doch der Zimbra-Benutzer besitzt Zugriff auf zentrale Bestandteile des Maildienstes. Dadurch können vertrauliche Kommunikation, gespeicherte Daten und die weitere Integrität des Systems gefährdet sein.
CISA bewertete die technische Auswirkung in den beim US-Schwachstellenregister NVD dokumentierten Angaben als vollständig und bestätigte aktive Ausnutzung. Die US-Behörde setzte Bundesbehörden eine Frist bis zum 24. August. Diese Frist ist für deutsche Unternehmen oder Behörden rechtlich nicht verbindlich. Der Eintrag in den Known Exploited Vulnerabilities Catalog bleibt aber ein klares technisches Warnsignal: Die Lücke wird in realen Angriffen eingesetzt und sollte nicht wie ein gewöhnlicher Wartungspatch bis zum nächsten planmäßigen Updatefenster warten.
274 Funde sind keine vollständige Schadensbilanz
Die Shadowserver Foundation meldete 274 kompromittiert erscheinende Instanzen, die am 22. August über bekannte Spuren der Ausnutzung erkannt worden seien. Veröffentlicht wurde diese Zahl am 24. August. Sie steht für beobachtete Server beziehungsweise IP-Adressen, nicht zwingend für 274 verschiedene Organisationen. Ebenso wenig lässt sich daraus ableiten, wie viele deutsche Systeme betroffen sind. Eine belastbare Aufschlüsselung für Deutschland lag zum Datenstand dieses Artikels nicht öffentlich vor.
Auch die häufig genannte Zahl von mehr als 12.000 im Internet sichtbaren Zimbra-Servern ist keine Zahl verwundbarer Systeme. Darunter können aktualisierte Installationen, andere Konfigurationen und Messpunkte ohne die betroffene SNMP-Funktion sein. Die beiden Werte beschreiben also unterschiedliche Dinge: Der größere Wert zeigt die grundsätzlich sichtbare Angriffsfläche, der kleinere konkrete Funde mit passenden Kompromittierungsspuren. Die genaue weltweite Schadenshöhe bleibt offen.
Patchen allein beendet keinen bereits laufenden Angriff
Administratoren sollten zunächst prüfen, ob ihre Installation älter als 10.1.20 ist und ob zimbra-snmp sowie SNMP-Benachrichtigungen aktiv sind. Betroffene Systeme müssen auf eine bereinigte, unterstützte Version aktualisiert werden. Weil die Ausnutzung bereits vor der aktuellen Warnwelle begonnen haben kann, reicht die Versionskontrolle allein nicht aus. CERT Polska empfiehlt zusätzlich, das Zimbra-Protokoll auf unerwartete Statuswechsel von Diensten zu untersuchen und nach Dateien zu suchen, die der Benutzer zimbra innerhalb der vergangenen 30 Tage in den Webanwendungs-Verzeichnissen oder im temporären Verzeichnis angelegt hat.
Wer solche Hinweise findet, sollte den Server als möglichen Sicherheitsvorfall behandeln, Beweise sichern und die weitere Untersuchung mit dem eigenen IT-Sicherheitsteam oder einem spezialisierten Dienstleister koordinieren. Ein Update schließt die bekannte Eintrittsstelle, entfernt aber keine Dateien oder Zugänge, die ein Angreifer möglicherweise vorher eingerichtet hat. Maßnahmen wie das Zurücksetzen von Zugangsdaten sollten sich anschließend nach den Ergebnissen der Untersuchung richten.
Für normale Mailnutzer gibt es dagegen kein Zimbra-Update auf dem Smartphone oder Notebook. Wird der Dienst vom Arbeitgeber, einer Behörde oder einem Hostinganbieter betrieben, liegt die technische Aktualisierung beim jeweiligen Administrator. Nutzer sollten auf konkrete Hinweise ihres Betreibers achten und Passwörter oder aktive Sitzungen dann ändern, wenn ein Vorfall bestätigt wurde oder die verantwortliche Stelle dazu auffordert. Ob und welche deutschen Dienste betroffen sind, ist derzeit nicht öffentlich geklärt; eine pauschale Aussage über einzelne Anbieter wäre deshalb nicht seriös.
Hauptquellen
- Zimbra Security Advisories – Herstellerangabe zur Korrektur in Version 10.1.20
- CERT Polska: aktiv ausgenutzte Zimbra-Schwachstelle – Angriffslage, betroffene Konfiguration und Prüfhinweise
- NVD: CVE-2026-73570 – CVE-Daten und dokumentierte CISA-Einstufung
- Shadowserver Foundation – Primärmeldung zu 274 erkannten Kompromittierungen
- BleepingComputer – unabhängige Einordnung der Warnungen und Messdaten
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
