سوءاستفاده هکرها از آسیب‌پذیری بحرانی زیمبرا

مایکروسافت هشدار داده مهاجمان سایبری از یک آسیب‌پذیری بحرانی در Zimbra Collaboration Suite سوءاستفاده می‌کنند تا به نسخه‌های پشتیبان ایمیل و اطلاعات احراز هویت سازمان‌ها دست پیدا کنند. این حفره امنیتی با شناسه CVE-2026-73570 ردیابی می‌شود و به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، از راه دور فرمان‌های سیستم‌عامل را روی سرور اجرا کند.

اهمیت ماجرا وقتی بیشتر می‌شود که بدانیم این نقص می‌تواند به سرقت داده‌های ایمیل، دسترسی پایدار به سرور و حتی اجرای بدافزار منجر شود؛ آن هم در سازمان‌هایی از صنایع و مناطق جغرافیایی مختلف.

جزئیات آسیب‌پذیری CVE-2026-73570

این آسیب‌پذیری در مسیر اعلان‌های SNMP در Zimbra Collaboration Suite قرار دارد. اگر بسته اختیاری zimbra-snmp روی سرور نصب شده باشد و اعلان‌های SNMP نیز فعال باشند، مهاجم می‌تواند با استفاده از یک ایمیل دست‌کاری‌شده، فرمان‌های سیستم‌عامل را از راه دور اجرا کند.

به بیان ساده، این نقص به مهاجم اجازه می‌دهد بدون داشتن نام کاربری یا رمز عبور، به سطحی از دسترسی برسد که برای هر مدیر سیستم یک کابوس امنیتی محسوب می‌شود.

پچ منتشر شد، اما حملات هم ادامه داشت

شرکت Synacor که نگه‌دارنده زیمبرا است، در تاریخ ۲۰ ژوئیه وصله امنیتی این مشکل را منتشر کرد، اما جزئیات آسیب‌پذیری بیش از سه هفته بعد به‌صورت عمومی اعلام شد. همین فاصله زمانی فرصت مناسبی برای مهاجمان ایجاد کرد تا سرورهای وصله‌نشده را شناسایی و هدف قرار دهند.

بنیاد امنیتی Shadowserver Foundation اعلام کرده اسکن‌هایش نشان داده ۲۷۴ نمونه جداگانه از Zimbra Collaboration Suite دچار نفوذ شده‌اند. طبق داده‌های این نهاد، تعداد سرورهای فعال این نرم‌افزار در هفته پس از انتشار وصله حدود ۱۹ هزار مورد بود، سپس به حدود ۱۲ هزار کاهش پیدا کرد و اکنون نزدیک به ۱۰ هزار نمونه در حال رصد هستند.

مایکروسافت چه چیزی مشاهده کرده است؟

مایکروسافت می‌گوید بین ۲۸ ژوئیه تا ۷ اوت دو ابزار اسکن مجزا در اینترنت به‌دنبال شناسایی نقاط آسیب‌پذیر بوده‌اند. مهاجمان ابتدا تلاش می‌کردند مطمئن شوند اکسپلویت آن‌ها درست کار می‌کند؛ برای این کار درخواست‌های HTTP و همچنین بررسی‌های DNS، ICMP و out-of-band را به دامنه‌هایی روی سرویس‌های عمومی ارسال می‌کردند.

این روش به آن‌ها اجازه می‌داد بدون نفوذ کامل به سرور، بررسی کنند که آیا اجرای فرمان از راه دور روی سیستم قربانی ممکن است یا نه. پس از تأیید موفقیت‌آمیز بودن اکسپلویت، مرحله بعدی نصب بارهای مخرب روی سرورهای آسیب‌پذیر بود.

اقدامات مخربی که پس از نفوذ دیده شده

• استقرار JSP web shell برای دسترسی از راه دور
• راه‌اندازی reverse shell
• افزایش سطح دسترسی در سیستم
• نصب ابزارهای دسترسی پایدار و ماندگار
• اجرای کد در حافظه برای کاهش ردپا
• دسترسی به ایمیل‌ها و جمع‌آوری داده‌های صندوق‌های پستی
• سرقت اطلاعات احراز هویت و آرشیو کردن داده‌ها
• انتقال فایل‌های آرشیوی به بیرون از سازمان

مایکروسافت همچنین تأکید کرده این حملات محدود به یک صنعت یا منطقه خاص نبوده و سازمان‌هایی در چندین حوزه و جغرافیای مختلف تحت تأثیر قرار گرفته‌اند. بخشی از این عملیات به‌صورت خودکار انجام شده و بخشی دیگر با دخالت مستقیم اپراتورهای انسانی روی سرورهای آلوده پیش رفته است.

چرا این نقص امنیتی خطرناک است؟

خطر اصلی اینجاست که مهاجم برای شروع حمله به هیچ حساب کاربری معتبری نیاز ندارد. در سناریوهایی از این دست، اگر سرور ایمیل سازمان وصله نشده باشد و تنظیمات مربوط به SNMP نیز فعال باشند، مهاجم می‌تواند خیلی سریع از مرحله شناسایی به اجرای فرمان، نصب شل، سرقت ایمیل و استخراج داده برسد.

از آنجا که سرور ایمیل معمولاً یکی از حساس‌ترین بخش‌های زیرساخت هر سازمان است، نفوذ به آن فقط به معنی سرقت پیام‌ها نیست؛ بلکه می‌تواند زمینه‌ساز دسترسی به حساب‌های دیگر، حملات فیشینگ داخلی و افشای اطلاعات محرمانه هم باشد.

اگر از زیمبرا استفاده می‌کنید چه باید کرد؟

• در اولین فرصت آخرین وصله امنیتی Zimbra را نصب کنید.
• بررسی کنید آیا بسته zimbra-snmp روی سرور شما فعال است یا خیر.
• در صورت عدم نیاز، اعلان‌های SNMP را غیرفعال کنید.
• لاگ‌های سرور را برای نشانه‌های اجرای فرمان، وب‌شل و ارتباطات مشکوک مرور کنید.
• دسترسی‌های مدیریتی و اطلاعات احراز هویت را بازبینی و در صورت لزوم تعویض کنید.
• هرگونه فایل آرشیوی غیرعادی یا انتقال داده مشکوک را به‌دقت بررسی کنید.

این هشدار نشان می‌دهد حتی تأخیر کوتاه در نصب وصله‌های امنیتی هم می‌تواند به نفوذی گسترده منجر شود. برای سازمان‌هایی که از Zimbra Collaboration Suite استفاده می‌کنند، بررسی فوری وضعیت سرورها دیگر یک توصیه نیست؛ یک ضرورت است.