根據波蘭電腦緊急應變小組（CERT Polska）的最新安全警報，企業級協作平台 Zimbra Collaboration (ZCS) 存在一個嚴重的安全漏洞，目前已在野外被攻擊者積極利用。該漏洞編號為 CVE-2026-73570，其 CVSS 評分高達 8.9 分，屬於高風險等級。此漏洞的核心問題在於系統對輸入資料的處理不當，使得未經認證的遠端攻擊者能夠在伺服器上執行任意操作系統指令，對企業的郵件通訊與數據安全構成重大威脅。
漏洞背景與觸發條件
此次受影響的技術核心在於 SNMP（簡單網路管理協定，Simple Network Management Protocol），這是一種常用於監控與管理網路設備、伺服器狀態的標準協定。在 Zimbra 的環境中，若系統安裝了選用的 zimbra-snmp 套件，且啟用了 SNMP 通知功能，就會暴露出此漏洞。
問題出在 ZCS 在處理 SNMP 通知時，缺乏對不可信輸入內容的適當清理（Sanitization）。所謂的清理，是指程式在接收外部數據前，必須先過濾掉可能被解釋為指令的特殊字符，以防止攻擊者將惡意指令偽裝成一般數據傳入系統。由於此機制失效，攻擊者可以透過發送精心構造的 SMTP（簡單郵件傳輸協定，Simple Mail Transfer Protocol）請求，將惡意指令注入到系統處理流程中。
核心技術分析：指令注入與遠端執行
這類漏洞在技術上被稱為指令注入（Command Injection），其危險之處在於它能導致遠端代碼執行（Remote Code Execution, RCE）。當伺服器接收到惡意的 SMTP 請求後，由於沒有對輸入內容進行驗證，系統會將攻擊者夾帶的指令直接傳遞給底層的操作系統執行。
最關鍵的風險在於，這些指令是以 Zimbra 用戶的權限在伺服器上運行。雖然可能尚未取得最高權限的 Root 權限，但 Zimbra 用戶通常擁有讀寫郵件數據、存取設定檔以及在特定目錄下創建文件的權限。這意味著攻擊者可以在無需任何帳號密碼（Unauthenticated）的情況下，直接從外部控制伺服器，進而竊取敏感郵件、安裝後門程式或將其作為跳板攻擊內部網路。
實務影響與偵測建議
目前 Zimbra 已於上個月發布 10.1.20 版本以修復此漏洞。然而，CERT Polska 警告，許多組織可能尚未完成更新，導致伺服器仍處於危險之中。對於系統管理員而言，確認伺服器是否已被入侵至關重要。
建議檢查重點包括監控 /var/log/zimbra.log 日誌文件，尋找是否有異常的 Zimbra 服務重啟記錄。此外，應檢查伺服器內特定路徑在近 30 天內是否出現不明文件，重點排查目錄包括 /opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/ 以及 /tmp/ 等暫存或網頁應用部署區。若在這些目錄發現非官方更新產生的可執行文件或腳本，極有可能是攻擊者留下的 WebShell 或惡意載荷。
安全脈絡與長期威脅
Zimbra 伺服器長期以來一直是國家級駭客組織與高級持續性威脅（APT）的目標。除了本次的 SNMP 漏洞，近期美國政府也揭露了由俄羅斯關聯組織 Laundry Bear（亦稱為 Void Blizzard 或 TA488）發起的釣魚攻擊行動。該組織自 2025 年 7 月起，利用另一個儲存型跨站腳本漏洞（Stored XSS, CVE-2025-66376）來部署名為 ZimReaper 的惡意 JavaScript 載荷，旨在竊取西方政府與商業組織的電子郵件通訊。
從這些事件可以看出，攻擊者傾向於尋找能夠繞過認證或利用管理功能（如 SNMP）的進入點，以獲取對郵件伺服器的完全控制權。由於郵件伺服器是企業溝通的核心，一旦失守，不僅會導致機密洩漏，還能讓攻擊者利用受信的郵件帳號發送更具欺騙性的社交工程攻擊，擴大受害範圍。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。