Zimbra KEV vence hoje: a pergunta final é se houve exposição antes da correção

O sinal e os factos que mudam a decisão

CVE-2026-73570 chega hoje ao prazo KEV. Corrigir para 10.1.20 ou seguir a orientação aplicável é necessário, mas servidores com SMTP exposto, zimbra-snmp e notificações ativas também precisam de investigação sobre o período anterior.

A condição afetada combina versão anterior a 10.1.20, pacote opcional e notificações SNMP. O vetor descrito usa pedidos SMTP especialmente construídos e pode executar comandos sem autenticação.

KEV confirma exploração conhecida; ausência de alerta local não prova ausência de exploração. Aplicar o update sem preservar ou rever logs pode eliminar contexto necessário para detetar execução anterior como utilizador Zimbra.

Decisão, limites e condição de bloqueio

Até ao fecho do dia, cada servidor deve estar corrigido, isolado ou retirado e ter uma decisão de investigação baseada na exposição.

Aplicar o update sem preservar ou rever logs pode eliminar contexto necessário para detetar execução anterior como utilizador Zimbra.

Execução e prova de conclusão

A execução deve começar por congelar denominador final e reexecutar descoberta de servidores e configuração. Depois, preservar evidência, corrigir ou isolar e testar smtp/configuração depois da ação. O fecho exige investigar processos, comandos, contas, ficheiros e ligações nos expostos.

O relatório de hoje mostra 100% da população em estado comprovado e risco residual explicitamente aceite, nunca inferido.

• congelar denominador final e reexecutar descoberta de servidores e configuração.
• preservar evidência, corrigir ou isolar e testar SMTP/configuração depois da ação.
• investigar processos, comandos, contas, ficheiros e ligações nos expostos.
• O relatório de hoje mostra 100% da população em estado comprovado e risco residual explicitamente aceite, nunca inferido.