注目★★★★★CISA KEV
Zimbra 認証なし RCE、SNMP パッケージ有効時に任意コマンド実行可能
30秒で把握
- 1Zimbra ZCS に認証なし RCE 脆弱性 (CVE-2026-73570)、10.1.20 未満で SNMP パッケージ有効時に発現
- 2特殊な SMTP リクエストで Zimbra ユーザ権限での任意 OS コマンド実行が可能、CISA KEV 登録・BOD 26-04 対象
- 3導入組織は 8 月 24 日までにアップグレード又は SNMP 無効化、インターネット公開インスタンスは優先対応
要約
Zimbra Collaboration Suite (ZCS) 10.1.20 未満に、SNMP 通知処理の不適切なサニタイズに起因する認証なしリモートコード実行脆弱性が存在する。攻撃者は特殊な SMTP リクエストを送信することで、Zimbra ユーザ権限で任意の OS コマンドを実行可能だ。CVSS 3.1 ベクトル (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L) で評価されている。CISA は 2026 年 8 月 21 日に Known Exploited Vulnerabilities Catalog に登録し、8 月 24 日までにベンダー指示に従った緩和対策を適用することを要求した。
あなたへの影響
Zimbra を本番稼働するチームは、SNMP notifications が有効かどうか即時確認し、10.1.20 以上へのアップグレード又は無効化を CISA BOD 26-04 ガイドラインに従って本週中に実施する必要がある。
推奨：インターネット公開の Zimbra インスタンスは優先度最高で対応すべき。