Zimbra Diserang Lewat Celah Kritis, Microsoft Temukan Eksploitasi Aktif CVE-2026-73570

Sedikit kita telaah mengenai Security, Microsoft Threat Intelligence baru baru ini mengungkap adanya serangan aktif nan memanfaatkan CVE-2026-73570, sebuah celah keamanan kritis pada Zimbra Collaboration Suite.

Nah bagi nan belum tahu, Zimbra sendiri merupakan platform email dan collaboration nan banyak digunakan organisasi untuk menyediakan jasa seperti business email, kalender, contact management, file sharing, hingga task management.

Celah Ada di Zimbra SNMP

Nah jadi, CVE-2026-73570 merupakan unauthenticated operating system command injection nan berada pada jalur SNMP notification Zimbra.

Masalah ini dapat dieksploitasi melalui request SMTP nan telah dimodifikasi pada mail server nan terbuka ke internet, khususnya ketika zimbra-snmp terpasang dan SNMP notification diaktifkan.

Dalam kondisi tersebut, attacker dapat menjalankan command dari jarak jauh dengan kewenangan akses milik Zimbra service account tanpa memerlukan hubungan dari pengguna.

Menurut info nan beredar Zimbra sebenarnya sudah menyediakan perbaikan melalui Zimbra 10.1.20 pada 20 Juli 2026, namun berasas telemetry Microsoft, attacker sudah mulai melakukan probing dan pemanfaatan terhadap jalur tersebut setelah patch tersedia dan sebelum kerentanan tersebut dipublikasikan secara luas pada 13 Agustus.

Artinya, pengurus nan tetap menggunakan jenis rentan perlu memperhatikan bahwa celah ini bukan sekadar theoretical vulnerability.

Attacker Bisa Mencuri Credential

Nah dalam serangan nan diamati Microsoft, attacker tidak hanya mencoba mendapatkan remote command execution.

Mereka juga menargetkan authentication secrets, pre-authentication keys, dan session tokens nan dapat digunakan untuk mempertahankan akses ke lingkungan organisasi.

Microsoft juga menemukan penggunaan beberapa JSP webshell pada path aplikasi Jetty dan mailboxd. Bahkan pada beberapa kasus, webshell tambahan ditempatkan pada node mailbox lain untuk menyediakan jalur akses alternatif.

Dalam salah satu tekniknya, attacker sempat mengubah permission sebuah public directory agar dapat menempatkan webshell, kemudian mengembalikan permission tersebut sehingga perubahan lebih susah terlihat melalui pemeriksaan sederhana.

Defender Berhasil Mendeteksi Aktivitas

Nah mengenai perihal tersebut, Microsoft mengatakan Defender sukses mendeteksi aktivitas rawan pada seluruh attack path nan diamati.

Selain mengenali pola SNMP command injection, Defender juga mendeteksi dan melakukan quarantine terhadap beberapa payload seperti Chopper, GodzillaWebShell, CoinMiner, Looptik, SuspGoLang, dan Ditelti.

Defender juga dapat memberikan peringatan terhadap aktivitas mencurigakan lainnya, termasuk perubahan permission, background execution, serta file nan dijatuhkan kemudian dijalankan.

Apa nan Harus Dilakukan Administrator?

Untuk Anda nan bekerja sebagai Administrator nan mengelola Zimbra, Microsoft merekomendasikan pengurus untuk melakukan upgrade ke Zimbra 10.1.20.

Jika zimbra-snmp tidak diperlukan, pengurus juga dapat menghapus package tersebut, selain itu, akses SNMP dan SMTP perlu dibatasi sesuai kebutuhan.

Untuk environment nan menggunakan Microsoft Defender XDR, security team juga disarankan menjalankan Kusto queries nan disediakan Microsoft untuk mencari indikasi seperti eksekusi swatchdog dan perubahan file nan tidak sah.

Jadi untuk organisasi nan tetap menjalankan Zimbra dan servernya terbuka ke internet, CVE-2026-73570 ini cukup krusial untuk segera diperiksa, terlebih Microsoft sudah menemukan adanya pemanfaatan aktif terhadap vulnerability tersebut.

Via : Microsoft