Falha Crítica no Zimbra Permite Roubo de E-mails e Acesso Irrestrito

A falha CVE-2026-73570 no Zimbra Collaboration Suite é um vetor de ataque grave, pois permite a execução remota de código (RCE) sem necessidade de autenticação. Essa vulnerabilidade se manifesta quando um e-mail é especialmente elaborado para introduzir dados não sanitizados no processo de notificação SNMP do Zimbra. Se o pacote opcional 'zimbra-snmp' estiver instalado e as notificações SNMP ativadas, comandos arbitrários são executados com os privilégios da conta de serviço Zimbra.

A exploração ativa observada pela Microsoft demonstra a seriedade da situação. Após o sucesso inicial, atacantes instalam web shells e reverse shells, escalam privilégios e mantêm acesso remoto persistente. A meta principal é o roubo de dados, incluindo e-mails e credenciais de autenticação, com a criação de arquivos para posterior exfiltração. Organizações em diversos setores e regiões foram afetadas, mostrando que a ameaça é generalizada.

O que torna esta vulnerabilidade ainda mais preocupante é o cronograma de sua gestão. O Zimbra lançou o patch para a CVE-2026-73570 em 20 de julho de 2026, mas só divulgou a existência da falha mais de três semanas depois. Durante esse período de sigilo, entre 28 de julho e 7 de agosto, a Microsoft já detectava varreduras e explorações ativas da vulnerabilidade. Isso significa que atacantes estavam comprometendo sistemas antes mesmo de muitas empresas terem conhecimento da falha ou da necessidade de aplicar o patch.

A Shadowserver inicialmente identificou 19 mil instâncias do Zimbra vulneráveis na semana seguinte ao patch. Embora esse número tenha diminuído para cerca de 10 mil instâncias, a confirmação de 274 servidores já comprometidos, como apontado pela Shadowserver na semana anterior a 2 de outubro de 2026, indica que a janela de exploração foi bem aproveitada pelos cibercriminosos, mesmo com a disponibilidade da correção.

Esta falha no Zimbra reforça a tendência de ataques direcionados a plataformas de e-mail e colaboração, sistemas críticos para qualquer organização. O CEVIU News já reportou incidentes similares, como a exploração ativa de falhas no Cisco Secure Email Gateway (17 de setembro de 2026) e as vulnerabilidades no PaperCut para roubo de credenciais (7 de setembro de 2026). Servidores de e-mail são alvos valiosos devido à riqueza de informações sensíveis que contêm.

A capacidade de executar comandos arbitrários remotamente e sem autenticação é o cenário de pesadelo para a cibersegurança. O roubo de credenciais e a exfiltração de e-mails podem levar a comprometimentos de longo prazo, vazamentos de dados regulatórios e impactos financeiros significativos. A urgência na aplicação de patches e a verificação de configurações de segurança, como o serviço 'zimbra-snmp', são mandatórias para mitigar riscos.