Mehr als 270 Zimbra-Server sind im Zuge einer aktuellen Angriffswelle kompromittiert worden. Die Angreifer nutzen eine hochriskante Sicherheitsl\u00fccke in der Zimbra Collaboration Suite (ZCS) aus, die eine Remotecodeausf\u00fchrung ohne vorherige Authentifizierung erm\u00f6glicht. Die Suite wird weltweit von hunderten Millionen Nutzern sowie tausenden Unternehmen und Regierungsbeh\u00f6rden eingesetzt, was die Tragweite der Attacken unterstreicht.<\/p>\n
Bei der verwundbaren Komponente handelt es sich um das SNMP-\u00dcberwachungsmodul von ZCS. Ist SNMP-Benachrichtigungen aktiviert, erlaubt ein Command-Injection-Fehler Angreifern, beliebige Befehle auf dem Server auszuf\u00fchren. Der Hersteller Synacor schloss die L\u00fccke mit der Ver\u00f6ffentlichung von ZCS Version 10.1.20 am 20. Juli 2026<\/a>. Die Schwachstelle ist unter der CVE\u2011Nummer CVE\u20112026\u201173570 gelistet.<\/p>\n Das polnische CERT Polska<\/a> hatte die Sicherheitsl\u00fccke als erste Beh\u00f6rde als aktiv ausgenutzt gemeldet. Es wies Admins an, Protokolle auf ungew\u00f6hnliche Neustarts des Zimbra-Dienstes sowie auf verd\u00e4chtige Dateien in den Verzeichnissen \/opt\/zimbra\/jetty\/webapps\/<\/strong>, \/opt\/zimbra\/jetty_base\/webapps\/<\/strong> und \/tmp\/<\/strong> zu pr\u00fcfen \u2013 unabh\u00e4ngig davon, ob die Systeme bereits aktualisiert wurden.<\/p>\n Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA<\/a>) nahm die Schwachstelle in ihren Known Exploited Vulnerabilities (KEV) Katalog auf und ordnete Bundesbeh\u00f6rden eine Frist von drei Tagen f\u00fcr die Patchensetzung an, die am 24. August endete. Das Sicherheitsobservatorium Shadowserver<\/a> ver\u00f6ffentlichte daraufhin neue Scan-Ergebnisse: Am 22. August 2026<\/a> seien bereits 274 Zimbra-Instanzen mit eindeutigen Kompromittierungsartefakten identifiziert worden. Weiterhin seien mindestens 8.200 nach wie vor ungepatchte Instanzen im Internet erreichbar \u2013 auch wenn nicht bei allen die SNMP-Benachrichtigungen aktiviert sind und somit nicht alle unmittelbar ausnutzbar sind.<\/p>\n Die geografische Verteilung der kompromittierten Server erstreckt sich \u00fcber mehrere Kontinente, was auf eine koordinierte oder automatisierte Ausnutzungswelle hindeutet. Angesichts der weiten Verbreitung von ZCS in Unternehmens- und Regierungsumgebungen ist mit weiteren Opfern zu rechnen.<\/p>\n Sicherheitsl\u00fccken in Zimbra werden seit Jahren systematisch von Cyberkriminellen und staatlich gesteuerten Hackergruppen ausgenutzt. Das liegt vor allem an der zentralen Rolle der Suite: Kompromittierte E-Mail- und Kollaborationsserver gew\u00e4hren direkten Zugriff auf vertrauliche Kommunikation, Anh\u00e4nge und Authentifizierungsdaten. Im M\u00e4rz 2026 entdeckten Forscher von Seqrite Labs, dass die russische Milit\u00e4rhackergruppe APT28 (auch bekannt als Fancy Bear) eine gespeicherte Cross-Site-Scripting-L\u00fccke in Zimbra nutzte, um ukrainische Regierungsserver zu infiltrieren und E-Mails zu stehlen.<\/p>\n Bereits im Oktober 2024 warnten US- und britische Cyberbeh\u00f6rden vor der Gruppe APT29 (Midnight Blizzard, Cozy Bear), die \u00fcber eine andere ZCS-Schwachstelle Zugriff auf Server erlangte und Anmeldeinformationen abgriff. Auch die Cyber-Spionage-Gruppe Winter Vivern (auch als TA473 bezeichnet) nutzte eine reflektierte XSS-L\u00fccke in Zimbra-Webmail-Portalen, um E-Mail-Konten von NATO-nahen Akteuren auszusp\u00e4hen. Die aktuelle Kampagne um CVE\u20112026\u201173570 reiht sich damit in eine lange Serie gezielter Attacken auf Zimbra-Infrastruktur ein.<\/p>\n F\u00fcr Betreiber von Zimbra-Installationen ergibt sich eine klare Priorit\u00e4t: Sofern nicht bereits geschehen, muss umgehend das Update auf Version 10.1.20 oder h\u00f6her eingespielt werden. Neben dem Patchen der Schwachstelle sollten SNMP-Benachrichtigungen standardm\u00e4\u00dfig deaktiviert bleiben, wenn keine zwingende betriebliche Notwendigkeit besteht. Eine \u00dcberpr\u00fcfung der genannten Logs und Dateisystempfade auf Anomalien ist auch nach dem Update erforderlich, um bereits erfolgte Kompromittierungen zu erkennen. Zudem empfiehlt es sich, die Zugriffsrechte auf die Webapplikationsverzeichnisse restriktiv zu halten und Netzwerkzugriffe auf die SNMP-Schnittstellen auf vertrauensw\u00fcrdige Quellen zu beschr\u00e4nken.<\/p>\n Admins, die verd\u00e4chtige Vorg\u00e4nge untersuchen, sollten insbesondere auf folgende Indizien achten:<\/p>\n Die Geschwindigkeit, mit der Angreifer die L\u00fccke nach Bekanntwerden des Patches ausnutzen, zeigt, wie schnelllebig die Bedrohungslandschaft im E-Mail- und Kollaborationsumfeld ist. Dass sowohl staatliche Akteure als auch gew\u00f6hnliche Cyberkriminelle Zimbra-Server attackieren, macht deutlich, dass hier kein reines \u201eNischenproblem\u201c vorliegt. F\u00fcr Organisationen, die auf ZCS setzen, ist ein proaktives Patch-Management und eine kontinuierliche \u00dcberwachung auf Anomalien unerl\u00e4sslich \u2013 insbesondere dann, wenn die Suite im Au\u00dfenverh\u00e4ltnis exponiert betrieben wird.<\/p>\nAktuelle Lage: \u00dcber 270 kompromittierte Instanzen<\/h2>\n
Warum Zimbra\u2011Server ein bevorzugtes Ziel sind<\/h3>\n
Direkte Handlungsaufforderungen an Administratoren<\/h2>\n
Indikatoren f\u00fcr eine erfolgreiche Kompromittierung<\/h3>\n
\n
Bewertung der Gesamtsituation und Ausblick<\/h2>\n