Celah RCE Kritis Zimbra Kini Aktif Dieksploitasi dalam Serangan
CERT Polska, tim tanggap insiden siber nasional Polandia, memperingatkan bahwa pelaku serangan siber kini mulai mengeksploitasi celah keamanan kritis pada Zimbra Collaboration Suite (ZCS).
Kerentanan tersebut memungkinkan penyerang yang tidak terautentikasi menjalankan perintah pada sistem yang menjalankan Zimbra. Karena ZCS digunakan secara luas sebagai platform email dan kolaborasi, server yang belum diperbarui berpotensi menjadi sasaran serangan.
Kerentanan ini dilacak sebagai CVE-2026-73570 dan telah diperbaiki oleh tim Zimbra melalui pembaruan yang dirilis pada Juli 2026.
Celah command injection memungkinkan remote code execution
CVE-2026-73570 merupakan kerentanan command injection pada komponen monitoring SNMP Zimbra. Celah tersebut dapat dieksploitasi ketika fitur SNMP notifications diaktifkan.
Masalah terjadi karena input yang tidak tepercaya tidak disanitasi dengan benar ketika Zimbra memproses SNMP notification. Penyerang yang tidak membutuhkan autentikasi dapat mengirimkan request yang telah dimanipulasi untuk memicu eksekusi perintah sistem operasi.
Jika eksploitasi berhasil, perintah tersebut dapat dijalankan dengan hak akses pengguna zimbra.
Kondisi ini membuat kerentanan tersebut sangat berbahaya, terutama apabila server Zimbra dapat diakses langsung dari internet. Penyerang tidak perlu terlebih dahulu memperoleh kredensial akun untuk mencoba mengeksploitasi celah tersebut.
Tim keamanan Zimbra telah merilis Zimbra Collaboration Suite 10.1.20 pada 20 Juli 2026 untuk mengatasi masalah ini.
Lebih dari 12.000 server Zimbra masih terekspos
Besarnya risiko semakin terlihat dari jumlah server Zimbra yang masih dapat ditemukan secara langsung di internet.
Pemantauan terhadap perangkat yang terhubung ke internet menunjukkan terdapat lebih dari 12.100 server Zimbra yang terekspos secara online. Sebagian besar berada di Eropa dan Asia, masing-masing sekitar 4.382 dan 4.492 server.
Namun, angka tersebut tidak dapat digunakan untuk menentukan jumlah server yang benar-benar rentan. Sebagian perangkat kemungkinan merupakan honeypot, sementara sebagian lainnya mungkin sudah memasang pembaruan keamanan yang memperbaiki CVE-2026-73570.
Meski demikian, keberadaan ribuan server Zimbra yang dapat diakses dari internet membuat kerentanan ini menjadi target menarik bagi pelaku serangan.
CERT Polska menemukan eksploitasi aktif
CERT Polska mengonfirmasi bahwa CVE-2026-73570 telah digunakan dalam serangan nyata.
Tim tersebut meminta administrator Zimbra melakukan pemeriksaan terhadap log dan sistem mereka untuk mencari tanda-tanda kompromi, terutama pada server yang belum diperbarui.
Salah satu indikasi yang perlu diperhatikan adalah layanan Zimbra yang tiba-tiba melakukan restart sendiri. Administrator juga disarankan memeriksa apakah terdapat file mencurigakan yang dibuat oleh pengguna zimbra selama 30 hari terakhir.
Lokasi yang perlu diperiksa mencakup direktori:
/opt/zimbra/jetty/webapps//opt/zimbra/jetty_base/webapps//tmp/
Keberadaan file yang tidak dikenal pada lokasi tersebut tidak secara otomatis membuktikan bahwa server telah diretas, tetapi dapat menjadi indikator yang perlu diselidiki lebih lanjut.
Server Zimbra sering menjadi sasaran penyerang
Eksploitasi terhadap Zimbra bukan fenomena baru. Server ZCS telah berulang kali menjadi target kelompok cyber espionage maupun pelaku kejahatan siber karena platform tersebut menangani komunikasi email dan data organisasi dalam jumlah besar.
Pada 2023, kelompok spionase siber Winter Vivern yang terkait dengan Rusia mengeksploitasi kerentanan reflected XSS pada portal webmail Zimbra untuk mencuri email milik individu dan organisasi yang terkait dengan NATO.
Setahun kemudian, lembaga keamanan Amerika Serikat dan Inggris memperingatkan mengenai aktivitas APT29, yang juga dikenal sebagai Midnight Blizzard atau Cozy Bear. Kelompok tersebut dilaporkan menargetkan server Zimbra yang rentan bersama sejumlah server TeamCity.
Pada Maret 2026, kelompok APT28 yang dikaitkan dengan intelijen militer Rusia juga dilaporkan mengeksploitasi kerentanan stored XSS pada Zimbra dalam serangan yang menargetkan server milik pemerintah Ukraina.
Rangkaian insiden tersebut menunjukkan bahwa server Zimbra yang belum diperbarui dapat menjadi pintu masuk bagi berbagai jenis operasi siber.
Administrator diminta segera memasang pembaruan
Karena CVE-2026-73570 telah dikonfirmasi aktif dieksploitasi, administrator yang mengoperasikan Zimbra sebaiknya segera memastikan sistem telah menggunakan versi yang sudah diperbaiki.
Selain melakukan update, pemeriksaan log dan file pada server juga penting dilakukan, khususnya jika sistem terekspos langsung ke internet.
Jika ditemukan aktivitas mencurigakan, administrator sebaiknya memperlakukannya sebagai potensi insiden keamanan dan melakukan investigasi sebelum sekadar menghapus file atau memulai ulang layanan.
Dengan adanya eksploitasi aktif, server yang belum ditambal memiliki risiko lebih tinggi untuk dikompromikan, terutama karena kerentanan ini dapat dieksploitasi tanpa memerlukan autentikasi.
Sumber: CERT Polska
