メールサーバー「Zimbra」はなぜ無認証のまま遠隔操作されたのか。CVE-2026-73570の侵入経路を確かめる

まず初めに

社内サーバーの奥でひっそり動くメールソフトは、配達して当たり前と思われがちな裏方だ。だからといって、見出しまで設定条件を省略していいわけではない。「認証不要」は、ログインや利用者のクリックを待たずに攻撃を仕掛けられるという話だ。今回もSNMPの設定条件があり、入口で動くのはzimbraサービス権限。rootは後続の別の権限昇格だ。そこを一括で「メールだけで管理者」と丸めると、サーバーより先に説明の方が暴走してしまう。※個人の感想です

何が起きているのか

Microsoftの脅威インテリジェンスチームは、メールサーバー製品「Zimbra Collaboration Suite」に存在する脆弱性「CVE-2026-73570」が実際に悪用されている事例を追跡したと、同社のセキュリティブログで報告しました。この脆弱性は、SNMP(Simple Network Management Protocol、ネットワーク機器の状態を監視するための仕組み)の通知処理に関わる部分にあり、認証もユーザーの操作も必要としない「OSコマンドインジェクション」(外部から送り込んだ文字列が、サーバー側で意図しないコマンドとして実行されてしまう欠陥)に分類されています。

Microsoftの説明によれば、任意導入のzimbra-snmpパッケージが存在し、SNMP通知が有効になっている脆弱な構成の外部公開Zimbraサーバーに、細工したメールを使って攻撃を仕掛けられます。対象のサーバーで省略可能な「zimbra-snmp」パッケージが導入され、SNMP通知が有効になっている場合、サービス状態の変化を検知する処理の中で、攻撃者が送り込んだ文字列が十分に検証されないまま「snmptrap」というコマンドの一部として実行され、メールサーバーの実行権限を持つ「zimbra」サービスアカウントの権限でシェルコマンドが動いてしまうとされています。Microsoftが観測したroot（OSの最上位管理者）への昇格は、初期侵入後の別の手順です。細工したメールの送信が、そのままroot権限を得る操作という説明ではありません。

修正は2026年7月20日公開のバージョン10.1.20に含まれており、この脆弱性自体は2026年8月13日に公開で開示されました。Microsoftは、修正公開後の7月28日から8月7日の間に、2種類の帯外(アウトオブバンド)スキャン手法を使った事前調査・探索活動を観測したとしており、公開された修正内容を分析して攻撃手法を組み立てる、いわゆる「Nデイ」攻撃(修正済みだが未適用の脆弱性を狙う攻撃)の典型的な動きだったとしています。米国の政府機関CISAサイサ(サイバーセキュリティ・基幹インフラ防護を担う機関)は、この脆弱性を実際に悪用が確認された脆弱性をまとめた「Known Exploited Vulnerabilities(KEV)カタログ」に追加しています。

Microsoftが観測した侵入後の行動として、Zimbraのアプリケーション用ディレクトリにJSP形式のWebシェル(ブラウザ経由で遠隔操作できる不正プログラム)を設置し、同じクラスタ内の別のメールボックスノードにも同様のWebシェルを配置する事例、OpenSSLを使った逆接続シェルの確立、sudoの設定やPAM(認証のための仕組み)を悪用した権限昇格、systemdのサービスを装った不正プログラムの常駐化などが報告されています。さらに、Zimbraの認証に使う鍵情報(zimbraPreAuthKeyなど)の収集、同一環境内の他サーバーへの横移動、暗号資産のマイニングツールの設置、メールボックスのデータをまとめて圧縮し外部のクラウドストレージへ転送しようとした形跡も観測されたとしています。Microsoftは、この転送の試みが実際に完了したかどうかまでは確認できていないとしています。

なぜ重要なのか

この経路が重要なのは、設定条件を満たす脆弱な構成では、初期の不正なコマンド実行に認証も利用者の操作も要らないことです。ただし、任意導入のzimbra-snmpとSNMP通知の有効化という前提があります。どのZimbraサーバーでもメール1通で成立するという説明ではなく、自組織が対象構成かを確認し、修正を適用することが重要です。

また、修正が公開されてから実際に広く知られるまでの間に、攻撃者側が先回りして準備を進めていたという点も重要です。Microsoftの観測によれば、修正公開(7月20日)から公開開示(8月13日)までの約3週間の間に、既に攻撃者側の探索活動が始まっていました。これは、修正が公開された時点で「まだ知られていないから大丈夫」と考えることがいかに危険かを示す事例だといえます。

私たちへの影響

この原典は、構成条件を満たすZimbra Collaboration Suiteのサーバーを対象としています。利用しているメール基盤が該当するか分からない場合は、組織のIT担当者に確認してください。別のメールサービス全般の安全性を評価した報告ではありません。

自社でZimbraを運用している組織の管理者にとっては、対応は急を要します。Microsoftは、まずバージョン10.1.20以降へのアップグレードを呼びかけており、すぐに適用できない場合の代替策として、「zimbra-snmp」パッケージの削除、SNMP通知機能の無効化、SNMP・SMTPへのアクセス先を信頼できるホストに限定することを挙げています。すでに侵入の形跡がある場合には、逆接続シェルに関する警告を優先度の高いインシデントとして扱い、zimbraPreAuthKeyなどの認証鍵を再発行し、systemdの設定に見慣れない変更がないか確認することも呼びかけられています。

初心者が知っておくべきこと

「OSコマンドインジェクション」とは、本来はデータとして扱われるはずの入力に、攻撃者がシステムへの命令(コマンド)を混ぜ込み、サーバー側で意図しない処理を実行させてしまう欠陥の総称です。入力内容を十分にチェックせずにそのままシステムの処理に渡してしまうプログラムの作りが原因になります。

「SNMP」とは、ネットワーク機器やサーバーの状態(動作しているか、異常がないかなど)を外部から監視するために使われる、古くから使われている通信の仕組みです。本来は管理のための機能ですが、今回のように設定や実装に不備があると、攻撃の入り口として悪用されることがあります。

Q. 自分の会社がZimbraを使っているか分からない場合はどうすればよい? A. 出典で確認できた範囲では、社内のメールシステムの管理を担当する部署やIT担当者に確認するのが確実です。Zimbra Collaboration Suiteは企業・団体向けのメールサーバー製品のため、個人が契約する一般的なメールサービスとは異なります。

Q. バージョン10.1.20に上げれば、それだけで安心? A. バージョン10.1.20以降には、このCVEに関連する修正が含まれます。ただし、Microsoftは更新前から既に侵入されていた可能性がある場合に備え、Webシェルの有無の確認や認証鍵の再発行といった事後対応も合わせて呼びかけています。更新だけで、更新前の侵入の有無を保証するものではありません。

IT Postの見方――認証不要でも、条件と権限まで省略してはいけない

IT Postは、今回の厄介さは、条件を満たす構成ではパスワード突破や利用者のクリックを待たずに初期のコマンド実行が起こる点だと考える。そのうえで、調査事例にあるzimbra権限からrootへの後続昇格も区別して読む必要がある。「認証不要」という強い言葉だけで設定条件も実行権限も省略すれば、見出しの方が勝手に最上位へ昇格してしまう。

そしてもう一つ気になるのは、修正公開から公開開示までの約3週間、攻撃側はもう動き出していたという事実だ。「まだニュースになっていないから大丈夫」という発想がどれだけ通用しないか、これほど分かりやすい例もない。Zimbraのような地味だが現場を支える製品を使う組織こそ、こうした「静かな脆弱性」の情報を見落とさない体制を持ってほしいとIT Postは考える。※個人の感想です

今後どうなりそうか

Microsoftは、Zimbraのような外部公開されたメールサーバーが引き続き攻撃対象になりやすいとして、検知のためのハンティングクエリや侵害の痕跡(IOC)情報の公開を続けています。この脆弱性そのものの悪用件数が今後どう推移するか、追加の被害報告が出るかについては、発表時点では明らかにされていません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。