【安全资讯】微软披露Zimbra邮件服务器零日漏洞遭利用：攻击者窃取凭证并植入后门

概要：

微软威胁情报团队披露，攻击者在Zimbra邮件服务器一个关键零日漏洞公开披露前数周便已开始利用。该漏洞允许未经身份验证的攻击者远程执行命令，进而窃取凭证、入侵邮箱并深度控制受感染系统。事件波及多个地区和行业，凸显邮件服务器面临严峻安全威胁。

主要内容：

微软威胁情报团队发现，攻击者针对Zimbra Collaboration Suite中一个未经身份验证的命令注入漏洞CVE-2026-73570展开利用。该漏洞仅影响启用了可选SNMP监控包及通知功能的服务器。Zimbra于7月20日在10.1.20版本中修复，但漏洞直到8月13日才公开披露。微软在7月28日至8月7日期间观察到两种扫描工具探测同一漏洞组件。

攻击者首先利用常见网络工具确认命令执行能力，随后部署Web Shell和反向Shell，提升权限并安装持久化远程访问工具，甚至直接在内存中运行恶意代码。部分攻击者还临时修改公共目录权限以隐藏Web Shell，事后恢复原状。

攻击者进一步探索Zimbra环境，识别其他邮件服务器并利用现有SSH信任关系横向移动。至少一台机器被提权至root，并设置免密执行高权限命令。攻击者还搜寻Zimbra凭证和认证密钥，使用专门工具提取服务账户凭证及邮箱数据，并尝试将邮箱备份打包通过AzCopy传至Azure Blob Storage，但传输是否成功尚无法确认。

微软未将攻击归因于特定组织。建议管理员升级至10.1.20或更高版本，无法修补者可移除SNMP包或禁用通知以降低风险。