Cyber alert per PMI svizzere: server di posta Zimbra – falla sfruttata attivamente tramite e-mail
Una vulnerabilità sfruttata attivamente in Zimbra Collaboration Suite consente di attaccare un server di posta tramite un’e-mail appositamente manipolata. La configurazione vulnerabile richiede il pacchetto opzionale zimbra-snmp e le notifiche SNMP attive; non sono necessarie né autenticazione né interazione da parte dell’utente.
Se l’azienda utilizza Zimbra direttamente o tramite un fornitore IT, occorre richiedere subito la verifica della versione e la ricerca di eventuali tracce di compromissione.
Che cosa è successo?
Il 30 settembre 2026 Microsoft Threat Intelligence ha pubblicato i dettagli dello sfruttamento confermato di CVE-2026-73570. Nella configurazione interessata, un’e-mail manipolata può eseguire comandi con i privilegi dell’account di servizio Zimbra.
Negli incidenti analizzati sono stati osservati web shell, accessi remoti, escalation dei privilegi e accesso a e-mail e dati di autenticazione. Zimbra aveva già corretto la vulnerabilità di base nella versione 10.1.20.
La mia azienda potrebbe essere interessata?
Possono essere interessate le aziende che utilizzano Zimbra Collaboration Suite come server di posta interno o come servizio gestito dal proprio fornitore IT. Le versioni precedenti alla 10.1.20 richiedono particolare attenzione se zimbra-snmp è installato e le notifiche SNMP sono attive.
Microsoft 365, Exchange Online e Google Workspace non sono interessati da questa vulnerabilità di Zimbra. Il fornitore IT può confermare quale piattaforma gestisce effettivamente la posta aziendale.
Che cosa dovrebbe fare ora?
Chieda oggi stesso al fornitore IT di eseguire una verifica mirata. L’attività non deve limitarsi all’aggiornamento: poiché sono già avvenuti attacchi, è necessario cercare anche eventuali segni di una compromissione precedente.
Confermare se viene utilizzato Zimbra Collaboration Suite e rilevare la versione installata.
Aggiornare a una release attuale e supportata; deve essere presente almeno la correzione introdotta con Zimbra 10.1.20 per CVE-2026-73570.
Verificare se zimbra-snmp è installato e se le notifiche SNMP sono attive.
Esaminare log, directory web, accessi remoti, persistenza e credenziali coinvolte seguendo le indicazioni di Microsoft.
Quanto è urgente?
Urgenza: elevata. Lo sfruttamento è confermato e l’attacco non richiede né autenticazione né azioni da parte dei collaboratori. I sistemi potenzialmente interessati devono essere verificati subito; il solo aggiornamento non esclude una compromissione già avvenuta.
Informazioni per il fornitore IT
CVE: CVE-2026-73570.
Vettore di attacco: messaggio SMTP appositamente manipolato che raggiunge l’elaborazione delle notifiche SNMP.
Condizioni necessarie: zimbra-snmp installato e notifiche SNMP attive.
Correzione: Zimbra Collaboration Suite 10.1.20 o successiva; preferire l’ultima versione supportata.
Se non è possibile aggiornare subito, valutare le misure temporanee descritte da Microsoft e il loro impatto sul servizio di posta prima di applicarle.
Cercare tracce di compromissione dalla fine di luglio 2026 usando gli indicatori e i comportamenti descritti da Microsoft.
