新聞

8月下旬波蘭電腦緊急應變團隊（CERT Polska）、美國網路安全與基礎設施安全局（CISA）提出警告，郵件伺服器系統Zimbra於7月下旬修補的命令注入漏洞CVE-2026-73570遭到積極利用，呼籲用戶應儘速更新Zimbra並檢查事件記錄，以確認是否遭到入侵，近期有最新調查發現，相關漏洞利用活動可追溯至7月底。

微軟資安研究團隊指出，他們在7月28日至8月7日期間，觀察到兩波掃描CVE-2026-73570的活動，當時Zimbra開發團隊已發布新版修補，但尚未公開此漏洞資訊。一旦他們確認郵件伺服器存在弱點並成功利用，後續就會從事一系列的活動，例如：部署JSP webshell或反向shell、權限提升、植入遠端存取工具，以及在背景記憶體執行命令等。再者，攻擊者也透過電子郵件，搜刮身分驗證與信箱資料，並以壓縮檔打包及傳送。攻擊活動同時出現使用自動化惡意酬載與駭客手動操作的情況，而對於這波漏洞利用的範圍，微軟強調攻擊者並未針對特定產業或是地理區域，似乎是隨機尋找下手目標。

攻擊者首先使用輕量的界外探測工具，來確認Zimbra伺服器是否存在弱點，以便執行命令。由於這些探測器透過本地身分識別檢查，或是小型的系統指紋辨識指令碼來確認能否執行命令，並未直接傳遞惡意酬載，因此資安人員可能難以察覺異狀。接著攻擊者觸發CVE-2026-73570，以Zimbra服務帳號執行指令。在微軟看到的活動裡，攻擊者藉此部署JSP webshell，並竄改webroot權限，然後從多個分割的檔案重組惡意酬載，解碼並寫入公開的應用程式資料夾，再者，他們也透過wget或curl下載並執行特定內容，啟動背景處理程序，以及建立互動式的反向shell。該公司也看到攻擊者濫用cron、systemd，或memfd_create來建立持續運作的機制。