Uma vulnerabilidade de alta gravidade no Zimbra Collaboration está sendo explorada ativamente por cibercriminosos e pode permitir a execução remota de comandos em servidores sem que o invasor precise realizar autenticação. O alerta foi divulgado pelo CERT Polska e coloca administradores de ambientes Zimbra sob pressão para aplicar as correções disponíveis.
Identificada como CVE-2026-73570, a falha recebeu nota 8,9 no sistema CVSS e está relacionada a uma vulnerabilidade de injeção de comandos que pode levar à execução remota de código (RCE). O problema está presente em versões do Zimbra Collaboration anteriores à 10.1.20 quando o pacote opcional zimbra-snmp está instalado e as notificações SNMP encontram-se ativadas.
De acordo com informações registradas no National Vulnerability Database (NVD), a origem do problema está no tratamento inadequado de dados não confiáveis durante o processamento de notificações SNMP. Na prática, essa falha pode abrir caminho para que dados manipulados por um atacante sejam interpretados de forma perigosa pelo servidor.
Exploração pode começar por uma mensagem SMTP
Um dos aspectos mais preocupantes da vulnerabilidade é a possibilidade de exploração sem credenciais. Um atacante pode enviar uma requisição SMTP especialmente elaborada para um servidor vulnerável. A informação maliciosa pode posteriormente alcançar o mecanismo responsável pelo processamento das notificações SNMP e provocar a execução de comandos no sistema operacional com as permissões atribuídas ao usuário Zimbra.
Isso elimina a necessidade de o invasor possuir previamente uma conta válida na plataforma, tornando servidores de e-mail expostos à internet alvos particularmente relevantes para campanhas de exploração.
A Zimbra corrigiu a vulnerabilidade com o lançamento da versão 10.1.20. Por isso, organizações que ainda utilizam versões anteriores devem verificar imediatamente a versão instalada e, principalmente, confirmar se o componente zimbra-snmp está presente e se as notificações SNMP estão habilitadas.
CERT Polska identifica tentativas de ataque
O CERT Polska informou ter detectado tentativas de exploração da CVE-2026-73570 e recomendou que administradores não se limitem à instalação do patch, mas também investiguem os ambientes em busca de possíveis sinais de comprometimento.
Entre os pontos que devem ser analisados está o arquivo de log:
/var/log/zimbra.log
Também é recomendável verificar reinicializações incomuns dos serviços do Zimbra e procurar arquivos recentemente criados em diretórios que podem ser utilizados durante ou após uma exploração, incluindo:
/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/
A presença de arquivos inesperados nesses locais, especialmente quando associada a outros comportamentos anômalos, pode indicar que o servidor foi alvo de uma tentativa de invasão ou que houve atividade posterior à exploração.
Vulnerabilidade entra para a lista de falhas exploradas
A gravidade do cenário aumentou depois que a Cybersecurity and Infrastructure Security Agency (CISA), dos Estados Unidos, adicionou a CVE-2026-73570 ao catálogo Known Exploited Vulnerabilities (KEV) em 21 de agosto de 2026.
A inclusão no catálogo representa um forte indicativo de que a vulnerabilidade não é apenas teórica e já está sendo utilizada em ataques reais. Para órgãos civis do Poder Executivo Federal dos Estados Unidos, a medida também estabeleceu um prazo para aplicação da correção, que terminou em 24 de agosto.
Fora desse contexto específico, a entrada no KEV também serve como um alerta para empresas e demais organizações que utilizam Zimbra, principalmente aquelas que mantêm seus servidores de e-mail acessíveis pela internet.
Zimbra continua sendo alvo de campanhas
A CVE-2026-73570 não é um caso isolado. Nos últimos meses, outras vulnerabilidades do Zimbra também foram associadas a campanhas de espionagem e comprometimento de servidores.
Em julho de 2026, autoridades norte-americanas divulgaram informações sobre uma campanha de phishing atribuída ao grupo ligado à Rússia conhecido como Laundry Bear. O mesmo ator também é associado a diferentes identificadores utilizados por empresas e pesquisadores de segurança.
Segundo as informações divulgadas, a campanha vinha mirando servidores Zimbra utilizados por organizações governamentais e comerciais ocidentais desde pelo menos julho de 2025.
Naquela operação, os invasores exploraram a CVE-2025-66376, uma vulnerabilidade de cross-site scripting armazenado presente na interface Classic do Zimbra. A falha foi utilizada para distribuir um código JavaScript malicioso conhecido como ZimReaper, capaz de coletar mensagens de e-mail e outras informações sensíveis.
Atualização deve ser tratada como prioridade
Com a confirmação de exploração ativa da CVE-2026-73570, administradores de ambientes Zimbra devem tratar a atualização como uma medida prioritária. A instalação da versão corrigida é especialmente importante para servidores conectados diretamente à internet e para aqueles que possuem o componente zimbra-snmp instalado com notificações SNMP habilitadas.
Além da atualização, equipes de segurança devem revisar logs, arquivos recentemente criados e alterações inesperadas no ambiente. Essa análise pode ajudar a identificar servidores que eventualmente tenham sido comprometidos antes da aplicação do patch.
O caso reforça uma tendência já conhecida no setor de segurança cibernética: vulnerabilidades em plataformas de colaboração e servidores de e-mail podem rapidamente se transformar em portas de entrada para ataques mais amplos. Por isso, manter sistemas atualizados e monitorar continuamente sinais de comportamento anômalo continua sendo uma das principais medidas para reduzir o risco de comprometimento.