CISA Instruksikan Penambalan Darurat Kerentanan Kritis Zimbra yang Aktif Dieksploitasi
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah mengeluarkan instruksi darurat kepada seluruh instansi pemerintah federal untuk segera menambal kerentanan kritis pada platform email dan kolaborasi Zimbra Collaboration Suite (ZCS). Celah keamanan ini dilaporkan tengah dieksploitasi secara aktif oleh penyerang di alam liar untuk mengeksekusi kode berbahaya.
Kerentanan yang dilacak dengan kode CVE-2026-73570 ini sebelumnya telah ditutup oleh tim keamanan Zimbra melalui pembaruan versi 10.1.20 pada 20 Juli lalu. Keberhasilan eksploitasi celah ini memungkinkan peretas tanpa otentikasi (unauthenticated) untuk meraih hak eksekusi kode jarak jauh (Remote Code Execution atau RCE) melalui kelemahan command injection pada komponen pemantauan SNMP saat fitur notifikasi SNMP diaktifkan di server target.
Mekanisme Eksploitasi dan Skala Ancaman Global
Akar masalah kerentanan ini berakar dari proses sanitasi input data tidak tepercaya yang tidak memadai (improper sanitization of untrusted input) selama pemrosesan notifikasi SNMP berlangsung. Melalui celah tersebut, penyerang tanpa hak akses dapat mengirimkan permintaan SMTP khusus (specially crafted SMTP requests) yang memicu eksekusi perintah sistem operasi arbitrer dengan hak istimewa pengguna zimbra.
Peringatan dari CISA diterbitkan menyusul laporan awal dari CERT Polska (tim tanggap darurat komputer Polandia) yang pertama kali mendeteksi aktivitas eksploitasi aktif di dunia nyata. Berdasarkan data pemantauan organisasi pengawas keamanan Shadowserver, terdapat lebih dari 12.000 server Zimbra yang terpapar langsung ke internet publik. Dalam investigasi terbarunya terhadap jejak eksploitasi CVE-2026-73570, Shadowserver telah mengonfirmasi bahwa lebih dari 270 instans server ZCS telah berhasil disusupi oleh peretas.
Merespons tingkat keparahan insiden, CISA resmi memasukkan CVE-2026-73570 ke dalam katalog Known Exploited Vulnerabilities (KEV) dan memberikan tenggat waktu ketat selama tiga hari bagi seluruh badan Federal Civilian Executive Branch (FCEB) AS untuk mengamankan infrastruktur mereka.
Langkah Mitigasi dan Rekam Jejak Serangan Zimbra
Mengingat platform ZCS digunakan secara luas oleh ratusan juta pengguna korporat dan lembaga pemerintah di seluruh dunia, CERT Polska menyarankan tim administrator keamanan TI untuk segera memeriksa log sistem secara berkala. Indikasi kompromi yang perlu diwaspadai mencakup layanan Zimbra yang melakukan restart secara mendadak, serta kemunculan file mencurigakan yang dibuat oleh pengguna zimbra dalam kurun 30 hari terakhir di direktori /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/, dan /tmp/.
Platform Zimbra sendiri tercatat berulang kali menjadi target empuk bagi kelompok spionase siber tingkat negara (Advanced Persistent Threat atau APT). Pada Maret lalu, peretas APT28 yang terafiliasi dengan intelijen militer Rusia terdeteksi menyusupi server Zimbra instansi pemerintah Ukraina via celah stored cross-site scripting (XSS). Kelompok spionase lain seperti APT29 (Midnight Blizzard / Cozy Bear) serta sindikat Winter Vivern juga memiliki rekam jejak panjang dalam mengeksploitasi kerentanan ZCS untuk menggasak kredensial dan isi percakapan email sensitif organisasi global.
Sumber: Badan Keamanan Siber dan Infrastruktur (CISA)
