Swiss KMU Cyber-Alert: Zimbra-Mailserver – aktiv ausgenutzte Lücke erlaubt Angriffe per E-Mail
Eine aktiv ausgenutzte Schwachstelle in der Zimbra Collaboration Suite ermöglicht Angriffe über speziell präparierte E-Mails. Betroffen sind Zimbra-Mailserver mit installiertem Paket zimbra-snmp und aktivierten SNMP-Benachrichtigungen; weder eine Anmeldung noch eine Benutzeraktion ist erforderlich.
Falls Ihr Unternehmen Zimbra selbst oder über einen IT-Dienstleister betreibt, sollte die Umgebung jetzt auf den Sicherheitsstand und mögliche Angriffsspuren geprüft werden.
Was ist passiert?
Microsoft Threat Intelligence hat am 30. September 2026 bestätigte Angriffe auf CVE-2026-73570 beschrieben. Eine präparierte E-Mail kann bei der betroffenen Konfiguration Befehle mit den Rechten des Zimbra-Dienstkontos ausführen.
Bei untersuchten Angriffen wurden unter anderem Webshells, Fernzugriffe, Rechteausweitungen sowie Zugriffe auf E-Mail- und Anmeldedaten beobachtet. Zimbra hat die zugrunde liegende Schwachstelle bereits mit Version 10.1.20 behoben.
Könnte mein Unternehmen betroffen sein?
Betroffen sein können Unternehmen, die Zimbra Collaboration Suite als eigenen oder durch einen IT-Dienstleister betriebenen Mailserver einsetzen. Besonders zu prüfen sind Versionen vor 10.1.20, wenn das optionale Paket zimbra-snmp installiert und die SNMP-Benachrichtigung aktiviert ist.
Microsoft 365, Exchange Online und Google Workspace sind von dieser Zimbra-Schwachstelle nicht betroffen. Ihr IT-Dienstleister kann feststellen, welches Mailsystem tatsächlich hinter Ihrer Firmen-E-Mail steht.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister heute mit einer kurzen Prüfung. Dabei sollte nicht nur das Update kontrolliert werden: Da Angriffe bereits stattgefunden haben, ist zusätzlich eine Prüfung auf eine mögliche frühere Kompromittierung notwendig.
Prüfen, ob Zimbra Collaboration Suite eingesetzt wird und welche Version installiert ist.
Auf eine aktuelle unterstützte Version aktualisieren; für CVE-2026-73570 muss mindestens die in Zimbra 10.1.20 enthaltene Behebung vorhanden sein.
Prüfen, ob zimbra-snmp installiert und die SNMP-Benachrichtigung aktiviert ist.
Protokolle, Webverzeichnisse, Fernzugriffe, Persistenz und betroffene Zugangsdaten anhand der Microsoft-Hinweise untersuchen.
Wie dringend ist es?
Dringlichkeit: hoch. Die Ausnutzung ist bestätigt, der Angriff benötigt keine Anmeldung und keine Aktion eines Mitarbeitenden. Betroffene Systeme sollten sofort geprüft werden; ein eingespieltes Update allein schliesst eine bereits erfolgte Kompromittierung nicht aus.
Informationen für Ihren IT-Dienstleister
CVE: CVE-2026-73570.
Angriffsweg: speziell präparierte SMTP-Nachricht gegen die SNMP-Benachrichtigungsverarbeitung.
Voraussetzungen: zimbra-snmp installiert und SNMP-Benachrichtigungen aktiviert.
Behebung: Zimbra Collaboration Suite 10.1.20 oder neuer; vorzugsweise die aktuelle unterstützte Version einsetzen.
Falls ein Update nicht sofort möglich ist, die von Microsoft beschriebenen Übergangsmassnahmen bewerten und deren Auswirkungen auf den Mailbetrieb prüfen.
Kompromittierungsprüfung ab Ende Juli 2026 anhand der Microsoft-Indikatoren und Verhaltensmuster durchführen.
