Peretas Susupi Lebih dari 270 Server Zimbra Melalui Kerentanan Eksekusi Kode Jarak Jauh
Aktor ancaman siber dilaporkan telah berhasil menyusupi lebih dari 270 server Zimbra Collaboration Suite (ZCS) di seluruh dunia melalui eksploitasi celah keamanan tingkat tinggi. Serangan ini memanfaatkan kelemahan eksekusi kode jarak jauh (Remote Code Execution atau RCE) yang menargetkan server email dan platform kolaborasi yang banyak digunakan oleh instansi pemerintah serta korporasi global.
Kerentanan yang dilacak sebagai CVE-2026-73570 ini sebelumnya telah ditambal oleh Synacor melalui peluncuran ZCS versi 10.1.20 pada 20 Juli lalu. Celah tersebut memungkinkan penyerang tanpa otentikasi (unauthenticated) mengeksekusi kode berbahaya dari jarak jauh melalui kelemahan command injection pada modul pemantauan SNMP ketika fitur notifikasi SNMP diaktifkan di server target.
Penyebaran Serangan dan Temuan Shadowserver
Organisasi pengawas keamanan siber independen Shadowserver mengonfirmasi bahwa penyusupan aktif terus meluas secara global setelah mendeteksi artefak eksploitasi di alam liar:
- 274 Server Terkompromi: Hasil pemindaian pada 22 Agustus 2026 mendeteksi sedikitnya 274 instans ZCS telah berhasil dibobol oleh peretas.
- 8.200 Server Belum Ditambal: Terdapat setidaknya 8.200 instans server Zimbra yang masih menjalankan versi rentan tanpa patch, meski kerentanan tersebut hanya dapat dieksploitasi bila konfigurasi notifikasi SNMP aktif.
Peringatan ini menyusul laporan awal dari CERT Polska yang mendeteksi kampanye eksploitasi aktif di dunia nyata. Merespons eskalasi ancaman tersebut, Badan Keamanan Siber dan Infrastruktur AS (CISA) langsung memasukkan celah ini ke dalam katalog Known Exploited Vulnerabilities (KEV) dan menginstruksikan badan sipil federal AS untuk segera memperbarui sistem mereka.
Indikasi Kompromi dan Sejarah Eksploitasi Zimbra
CERT Polska menyarankan para administrator server untuk segera meninjau log aktivitas sistem. Beberapa anomali yang patut diwaspadai mencakup layanan Zimbra yang melakukan restart secara tak terduga, serta keberadaan file mencurigakan yang dibuat oleh pengguna zimbra dalam 30 hari terakhir pada direktori:
/opt/zimbra/jetty/webapps//opt/zimbra/jetty_base/webapps//tmp/
Infrastruktur ZCS kerap menjadi sasaran utama kelompok spionase siber (Advanced Persistent Threat atau APT) tingkat negara untuk mencuri korespondensi sensitif. Pada Maret lalu, peretas APT28 yang terafiliasi dengan intelijen Rusia menyusupi server pemerintah Ukraina melalui celah stored cross-site scripting (XSS). Kelompok lain seperti APT29 (Midnight Blizzard / Cozy Bear) serta sindikat Winter Vivern juga tercatat berulang kali mengeksploitasi celah keamanan pada portal webmail Zimbra guna menggasak kredensial dan isi percakapan organisasi strategis.
Sumber: Laporan Pemantauan Ancaman Shadowserver
