Zimbra CVE-2026-73570: SMTP pode chegar a execução de comandos quando SNMP está ativo

O sinal e os factos que mudam a decisão

A CISA adicionou CVE-2026-73570 ao KEV em 21 de agosto com prazo de 24 de agosto. O NVD descreve execução remota de comandos em Zimbra Collaboration anterior a 10.1.20 quando o pacote zimbra-snmp está instalado e notificações SNMP estão ativas.

O NVD indica versões anteriores a 10.1.20 como afetadas na configuração descrita. O vetor é SMTP não autenticado com complexidade alta e impacto elevado; exploração ativa é confirmada pela entrada KEV.

A investigação deve procurar execução como utilizador Zimbra, alterações de conta, processos e persistência. A pré-condição opcional pode criar falso conforto: muitos inventários registam Zimbra, mas não pacote e configuração SNMP.

Decisão, limites e condição de bloqueio

Trate servidores expostos a SMTP como urgentes até provar versão e ausência da combinação zimbra-snmp/notificações, preservando evidência antes da mudança.

A pré-condição opcional pode criar falso conforto: muitos inventários registam Zimbra, mas não pacote e configuração SNMP.

Execução e prova de conclusão

A execução deve começar por inventariar servidores, versão, pacote zimbra-snmp, notificações e exposição smtp. Depois, preservar logs e estado, conter e aplicar a orientação do fornecedor/cisa. O fecho exige procurar comandos, filhos de processo, ficheiros, contas e ligações anómalas.

Fechar por servidor com versão, configuração, exposição, ação, investigação e teste SMTP pós-remediação.

• inventariar servidores, versão, pacote zimbra-snmp, notificações e exposição SMTP.
• preservar logs e estado, conter e aplicar a orientação do fornecedor/CISA.
• procurar comandos, filhos de processo, ficheiros, contas e ligações anómalas.
• Fechar por servidor com versão, configuração, exposição, ação, investigação e teste SMTP pós-remediação.