Aanvallers hebben de afgelopen weken honderden Zimbra-mailservers gehackt, waarbij gebruikt werd gemaakt van een kwetsbaarheid waarvoor sinds 20 juli een beveiligingsupdate beschikbaar is. Dat meldt The Shadowserver Foundation op basis van eigen onderzoek. Zimbra is een collaborative software suite die onder andere mailserversoftware en een webmailclient bevat. De software zou volgens Zimbra door meer dan zesduizend organisaties wereldwijd worden gebruikt en meer dan tweehonderd miljoen gebruikers tellen.

Een kwetsbaarheid in de SNMP (Simple Network Management Protocol)-monitoring van Zimbra (CVE-2026-73570) maakt command injection op de mailserver mogelijk. Via SNMP is het mogelijk om netwerkapparaten zoals servers op afstand te monitoren. Zimbra gaat niet goed om met niet vertrouwde invoer tijdens het verwerken van SNMP-notificaties. Een ongeauthenticeerde aanvaller kan door het versturen van speciaal geprepareerde SMTP requests willekeurige systeemcommando's op de Zimbra-mailserver uitvoeren. Voorwaarde voor misbruik is wel dat SNMP-notificaties staan ingeschakeld, wat niet standaard is.

Onlangs meldde het computer emergency response team van de Poolse overheid (CERT Polska) dat aanvallers misbruik van CVE-2026-73570 maken. The Shadowserver Foundation is een stichting die onderzoek doet naar kwetsbare systemen op internet. Tijdens een online scan werden 274 gehackte Zimbra-mailservers waargenomen. Op basis van beschikbare Indicators of Compromise werd vastgesteld dat de servers waren gehackt. Het gaat ook om twee servers in Nederland.

Verder zagen de onderzoekers 8200 Zimbra-mailservers die niet de laatste versie draaien en daardoor risico kunnen lopen, waaronder 79 in Nederland. The Shadowserver Foundation voegt toe dat het niet wil zeggen dat deze 8200 servers direct kwetsbaar voor aanvallen zijn, omdat het beveiligingslek zich voordoet bij een instelling die niet standaard staat ingeschakeld.