2026年8月多國CERT機構(gòu)連續(xù)發(fā)布高危預(yù)警Zimbra郵件服務(wù)器全新未認證遠程代碼執(zhí)行漏洞CVE-2026-73570進入大規(guī)模在野利用階段。和以往Zimbra漏洞不同這個漏洞不依賴Web管理端口、無需任何賬號權(quán)限、無需用戶交互攻擊者僅通過公網(wǎng)開放的25號SMTP端口就能直接拿下服務(wù)器zimbra用戶權(quán)限。目前全網(wǎng)超1.2萬臺公網(wǎng)Zimbra資產(chǎn)暴露在風(fēng)險中大量企業(yè)運維團隊存在認知誤區(qū)。多數(shù)人習(xí)慣性防護443、7071等Web管理端口完全忽略SMTP協(xié)議層面的攻擊面導(dǎo)致大量設(shè)備被批量植入后門、竊取全量郵件數(shù)據(jù)、淪為垃圾郵件跳板機。本文從底層源碼邏輯、服務(wù)運行機制出發(fā)拆解漏洞核心成因復(fù)盤完整在野攻擊鏈路提供可直接復(fù)制的一鍵自查腳本、流量檢測規(guī)則、臨時加固方案、永久修復(fù)步驟與入侵后完整取證處置流程。所有內(nèi)容均落地實戰(zhàn)無空泛理論可直接用于企業(yè)資產(chǎn)自查、安全加固、應(yīng)急響應(yīng)工作。一、漏洞核心基礎(chǔ)信息精準避坑版本很多公開文章對該漏洞的觸發(fā)條件描述模糊導(dǎo)致運維人員自查誤判。我基于官方安全公告、在野攻擊樣本、服務(wù)運行邏輯整理出精準、無偏差的漏洞基礎(chǔ)參數(shù)。1.1 基礎(chǔ)漏洞參數(shù)CVE編號CVE-2026-73570漏洞類型操作系統(tǒng)命令注入CWE-78風(fēng)險等級高危CVSS3.1 評分8.9執(zhí)行權(quán)限zimbra系統(tǒng)普通用戶可讀寫郵件服務(wù)核心目錄、讀取全量用戶數(shù)據(jù)、可橫向滲透認證要求無認證零權(quán)限攻擊攻擊入口TCP 25端口SMTP服務(wù)無需訪問Web界面補丁發(fā)布時間2026年7月20日在野利用時間2026年8月上旬開始批量擴散目前已有成熟自動化掃描利用工具1.2 精準受影響條件缺一不可這是全網(wǎng)最容易被誤傳的關(guān)鍵點。該漏洞不是默認全覆蓋只有同時滿足三個條件服務(wù)器才存在攻擊面缺少任意一個條件均可天然免疫。服務(wù)器安裝可選組件zimbra-snmp監(jiān)控包系統(tǒng)默認不預(yù)裝手動安裝監(jiān)控功能后才會存在服務(wù)配置開啟zimbraSNMPNotify通知功能設(shè)置為TRUE系統(tǒng)守護進程運行swatchdog服務(wù)正常啟動Zimbra默認開機自啟1.3 受影響版本范圍高危受影響Zimbra Collaboration SuiteZCS10.1分支 10.1.20終止維護無補丁ZCS 10.0全部分支官方已停止迭代永久無修復(fù)補丁暫未確認風(fēng)險8.x、9.x歷史老舊版本部分版本無snmp_notify邏輯天然免疫需自查確認1.4 與歷史Zimbra漏洞核心區(qū)別運維人員極易混淆同類漏洞錯誤復(fù)用舊漏洞防御方案導(dǎo)致防護失效。我做了精準區(qū)分CVE-2024-45519基于postjournal郵件日志組件注入攻擊入口為郵件頭漏洞組件不同CVE-2026-73570基于SNMP告警通知組件注入攻擊入口為原生SMTP報文當前唯一在野批量利用的Zimbra高危漏洞二、漏洞底層原理第一性原理拆解所有命令注入漏洞的核心本質(zhì)只有一個不可信外部輸入未做過濾轉(zhuǎn)義直接拼接系統(tǒng)命令執(zhí)行。該漏洞的獨特性在于觸發(fā)鏈路隱蔽、調(diào)用邏輯特殊絕大多數(shù)安全設(shè)備無法攔截。2.1 正常服務(wù)運行邏輯Zimbra搭載zimbra-snmp組件后會開啟服務(wù)器狀態(tài)監(jiān)控能力。swatchdog作為核心守護進程實時監(jiān)聽郵件服務(wù)運行狀態(tài)。當SMTP服務(wù)產(chǎn)生異常狀態(tài)、連接日志、告警信息時系統(tǒng)會觸發(fā)SNMP通知機制將日志信息封裝為告警報文推送至監(jiān)控終端。官方設(shè)計邏輯中SNMP通知模塊會讀取SMTP會話中的狀態(tài)字段、日志字段通過shell腳本調(diào)用系統(tǒng)指令完成告警推送。開發(fā)團隊默認該類字段為可信內(nèi)部數(shù)據(jù)未加入任何特殊字符過濾、轉(zhuǎn)義、黑名單攔截邏輯。2.2 漏洞觸發(fā)核心邏輯攻擊者突破點在于SMTP協(xié)議的自定義字段、擴展字段完全可控服務(wù)器不會校驗傳入內(nèi)容合法性。攻擊者可以自主構(gòu)造攜帶shell元字符的惡意SMTP報文發(fā)送至目標25端口。惡意報文被SMTP服務(wù)接收后正常存入服務(wù)日志與狀態(tài)緩存。swatchdog進程輪詢檢測到SMTP狀態(tài)更新后調(diào)用SNMP通知腳本直接讀取緩存中的惡意字段內(nèi)容原封不動拼接進系統(tǒng)shell命令行執(zhí)行。整個過程無認證、無攔截、無日志報錯屬于無回顯靜默命令注入。攻擊者不需要獲取任何返回數(shù)據(jù)命令執(zhí)行結(jié)果靜默落地運維人員很難通過常規(guī)日志直觀發(fā)現(xiàn)攻擊行為。2.3 漏洞攻擊鏈路流程圖構(gòu)造惡意SMTP報文攜帶命令注入載荷攻擊者目標Zimbra 25端口SMTP服務(wù)接收存儲惡意數(shù)據(jù)無校驗無過濾swatchdog守護進程輪詢抓取狀態(tài)觸發(fā)SNMP通知處理腳本惡意載荷直接拼接Shell命令zimbra用戶權(quán)限執(zhí)行任意命令植入后門/竊取數(shù)據(jù)/持久化駐留2.4 權(quán)限危害深度拆解很多人認為zimbra普通用戶權(quán)限危害有限這是極大的認知錯誤。郵件服務(wù)器的zimbra用戶具備極高業(yè)務(wù)權(quán)限全權(quán)讀取、修改、刪除服務(wù)器所有用戶的郵件數(shù)據(jù)、通訊錄、草稿文件讀寫Jetty網(wǎng)頁服務(wù)目錄可直接部署JSP后門實現(xiàn)持久化Web控制讀取Zimbra核心配置文件獲取賬號密碼、內(nèi)網(wǎng)配置、郵件中繼參數(shù)可調(diào)用郵件服務(wù)接口批量發(fā)送釣魚郵件、垃圾郵件冒用企業(yè)域名信譽服務(wù)器本地文件讀寫權(quán)限充足可落地提權(quán)腳本大概率可提升至root權(quán)限三、在野攻擊現(xiàn)狀與攻擊者戰(zhàn)術(shù)復(fù)盤結(jié)合2026年8月全網(wǎng)威脅情報、CERT告警、真實入侵樣本我整理出當前攻擊者的完整攻擊鏈條與戰(zhàn)術(shù)特點幫助大家精準預(yù)判風(fēng)險。3.1 全網(wǎng)資產(chǎn)風(fēng)險態(tài)勢全網(wǎng)公網(wǎng)測繪數(shù)據(jù)顯示全球暴露帶25端口的Zimbra服務(wù)器超1.2萬臺其中三千余臺已確認開啟snmp_notify功能、安裝snmp組件處于可直接被利用的高危狀態(tài)。風(fēng)險最高的資產(chǎn)集中在政企、教育、外貿(mào)企業(yè)。這類單位為保障郵件收發(fā)正常普遍全開25端口外網(wǎng)訪問且常年開啟服務(wù)器監(jiān)控組件極少做端口IP白名單限制。3.2 攻擊者標準攻擊流程當前在野攻擊均為自動化批量攻擊無人工定向試探流程高度固化全網(wǎng)端口掃描批量探測公網(wǎng)IP 25端口開放狀態(tài)篩選Zimbra服務(wù)指紋漏洞快速探測發(fā)送輕量載荷驗證目標是否滿足漏洞觸發(fā)三要素批量漏洞利用通過SMTP報文注入命令落地惡意文件持久化駐留寫入定時任務(wù)、部署Web后門、啟動常駐惡意進程數(shù)據(jù)竊取批量導(dǎo)出全量郵件、賬號配置、用戶信息跳板利用利用淪陷服務(wù)器對外發(fā)送垃圾郵件、掃描內(nèi)網(wǎng)資產(chǎn)3.3 攻擊規(guī)避檢測特點攻擊流量僅占用25端口絕大多數(shù)企業(yè)防火墻、WAF僅防護80/443/7071端口完全無防護策略命令執(zhí)行無回顯系統(tǒng)無明顯報錯日志常規(guī)運維巡檢無法發(fā)現(xiàn)異常惡意文件多落地/tmp、jetty臨時目錄偽裝成系統(tǒng)緩存文件隱蔽性極強自動化工具攻擊頻率均勻無高頻掃描特征難以通過流量閾值告警攔截四、企業(yè)資產(chǎn)一鍵自查實戰(zhàn)完整可復(fù)制腳本我整合出一套完整的自查方案包含手動精準排查命令、一鍵自動化檢測腳本、入侵痕跡篩查命令所有代碼直接復(fù)制即可運行適配所有Linux版本Zimbra服務(wù)器。4.1 基礎(chǔ)條件自查確認是否存在攻擊面先排查服務(wù)器是否滿足漏洞觸發(fā)三要素不滿足則直接判定無風(fēng)險無需后續(xù)排查。# 1.檢查是否安裝zimbra-snmp組件rpm-qa|grepzimbra-snmp# 2.切換zimbra用戶檢查SNMP通知開關(guān)狀態(tài)su- zimbra zmprov getConfig zimbraSNMPNotify# 3.檢查swatchdog服務(wù)運行狀態(tài)systemctl status zimbra-swatchdog# 舊版本Zimbra兼容命令servicezimbra-swatchdog status自查判定標準rpm查詢有包、zimbraSNMPNotify返回TRUE、swatchdog正常運行 高危漏洞存在無snmp包 / 開關(guān)為FALSE / 服務(wù)未運行 天然免疫無攻擊風(fēng)險4.2 一鍵自動化漏洞檢測腳本腳本自動完成環(huán)境檢測、漏洞判定、入侵痕跡篩查、異常文件掃描輸出清晰檢測報告適配所有受影響版本。#!/bin/bash# Zimbra CVE-2026-73570 一鍵漏洞自查腳本# 適用系統(tǒng)CentOS/RHEL Zimbra全版本echo Zimbra CVE-2026-73570 漏洞檢測報告 echo檢測時間:$(date%Y-%m-%d %H:%M:%S)# 1.檢測snmp組件安裝狀態(tài)echo-e\n[1] 檢測zimbra-snmp組件狀態(tài)SNMP_PKG$(rpm-qa|grepzimbra-snmp)if[-n$SNMP_PKG];thenecho? 已安裝zimbra-snmp組件:$SNMP_PKGelseecho? 未安裝snmp組件漏洞天然免疫fi# 2.檢測snmp通知開關(guān)狀態(tài)echo-e\n[2] 檢測SNMP通知配置狀態(tài)if[-n$SNMP_PKG];thenSNMP_STATUS$(su- zimbra-czmprov getConfig zimbraSNMPNotify 2/dev/null)echo配置狀態(tài):$SNMP_STATUSif[[$SNMP_STATUS*TRUE*]];thenecho? SNMP通知功能已開啟存在攻擊面elseecho? SNMP通知功能關(guān)閉無攻擊面fielseecho跳過檢測無SNMP組件fi# 3.檢測swatchdog服務(wù)狀態(tài)echo-e\n[3] 檢測swatchdog守護進程狀態(tài)WATCH_STATUS$(systemctl status zimbra-swatchdog2/dev/null|grepactive)if[-n$WATCH_STATUS];thenecho? swatchdog服務(wù)正常運行elseecho? swatchdog服務(wù)未運行fi# 4.篩查日志注入攻擊痕跡echo-e\n[4] 篩查SMTP命令注入攻擊日志痕跡ATTACK_TRACE$(grep-E;|\|||\$|\(|\)||/var/log/zimbra.log2/dev/null|tail-20)if[-n$ATTACK_TRACE];thenecho?? 檢測到惡意命令字符攻擊嘗試存在入侵風(fēng)險echo$ATTACK_TRACEelseecho? 未檢測到注入攻擊日志痕跡fi# 5.篩查可疑后門文件echo-e\n[5] 篩查Web目錄可疑腳本文件SHELL_FILE$(find/opt/zimbra/jetty/webapps /opt/zimbra/jetty_base/webapps /tmp-name*.jsp-o-name*.sh2/dev/null|grep-vzimbra|tail-20)if[-n$SHELL_FILE];thenecho?? 檢測到非系統(tǒng)默認腳本文件請人工核查echo$SHELL_FILEelseecho? 未檢測到可疑后門腳本文件fi# 6.篩查zimbra用戶定時任務(wù)echo-e\n[6] 篩查zimbra用戶可疑定時任務(wù)CRONTAB$(su- zimbra-ccrontab -l 2/dev/null)if[-n$CRONTAB];thenechozimbra定時任務(wù)列表echo$CRONTABelseecho? zimbra用戶無自定義定時任務(wù)fiecho-e\n 檢測結(jié)束 腳本使用方法1. 將腳本保存為zimbra_scan.sh2. 授權(quán)執(zhí)行chmod x zimbra_scan.sh3. 直接運行./zimbra_scan.sh4.3 深度入侵痕跡人工排查要點自動化腳本僅做基礎(chǔ)篩查部分隱蔽后門需要人工深度核查重點關(guān)注以下位置日志深度檢索檢索近30天zimbra.log中所有包含特殊元字符的記錄重點關(guān)注SMTP會話異常字段進程排查執(zhí)行ps -u zimbra核查是否存在陌生bash、curl、wget、nc等異常進程文件時間戳排查排查臨時目錄、web目錄近7天新增、修改的未知文件郵件規(guī)則排查登錄管理員后臺核查所有用戶是否被新增郵件轉(zhuǎn)發(fā)、自動過濾規(guī)則五、漏洞完整修復(fù)與臨時加固方案生產(chǎn)可用針對生產(chǎn)環(huán)境不同場景我區(qū)分了永久修復(fù)方案和臨時應(yīng)急加固方案。不能立刻停機升級的業(yè)務(wù)優(yōu)先使用臨時方案規(guī)避風(fēng)險業(yè)務(wù)低峰期完成永久修復(fù)。5.1 永久修復(fù)方案唯一根治方式官方在2026年7月20日發(fā)布ZCS 10.1.20版本徹底修復(fù)該漏洞重構(gòu)SNMP通知模塊輸入過濾邏輯杜絕命令注入風(fēng)險。升級目標版本Zimbra 10.1.20及以上穩(wěn)定版本廢棄版本說明10.0分支官方終止維護無任何補丁必須遷移升級無法修復(fù)升級注意事項升級前完整備份郵件數(shù)據(jù)、配置文件、數(shù)據(jù)庫避免業(yè)務(wù)中斷5.2 生產(chǎn)臨時應(yīng)急加固零停機、即刻生效針對核心生產(chǎn)郵件系統(tǒng)無法立刻升級的場景三套加固手段疊加使用100%封堵攻擊面。5.2.1 關(guān)閉SNMP通知核心功能首選# 切換zimbra用戶執(zhí)行關(guān)閉命令su- zimbra zmprov modifyConfig zimbraSNMPNotify FALSE# 刷新配置生效zmprov fc all# 再次核查配置狀態(tài)zmprov getConfig zimbraSNMPNotify5.2.2 卸載風(fēng)險組件徹底消除攻擊面業(yè)務(wù)無需SNMP監(jiān)控功能的服務(wù)器直接卸載組件永久杜絕該漏洞風(fēng)險# 卸載zimbra-snmp組件yum remove-yzimbra-snmp# 確認卸載完成rpm-qa|grepzimbra-snmp5.2.3 防火墻端口白名單防護限制25端口外網(wǎng)訪問權(quán)限僅允許企業(yè)可信郵件中繼IP、運營商IP訪問阻斷外網(wǎng)未知攻擊者掃描利用# firewalld示例僅允許指定IP訪問25端口firewall-cmd--permanent--add-rich-rulerule familyipv4 source address可信IP/24 port protocoltcp port25 acceptfirewall-cmd--permanent--remove-port25/tcp firewall-cmd--reload5.3 加固后驗證方法加固完成后重新執(zhí)行前文自查腳本確認無任何高危觸發(fā)條件同時觀察24小時日志無異常注入攻擊痕跡即為加固生效。六、流量檢測與SIEM告警規(guī)則實戰(zhàn)落地為安全設(shè)備、日志平臺、SIEM系統(tǒng)配置專屬檢測規(guī)則實時監(jiān)控在野攻擊行為提前攔截入侵嘗試。所有規(guī)則均適配當前在野攻擊載荷特征。6.1 日志審計告警規(guī)則監(jiān)控/var/log/zimbra.log日志匹配shell高危元字符組合觸發(fā)實時告警匹配特征; | $( ) || 任意組合出現(xiàn)在SNMP通知、SMTP狀態(tài)日志中6.2 文件監(jiān)控告警規(guī)則監(jiān)控Zimbra網(wǎng)頁目錄、臨時目錄新增JSP、SH、PHP腳本文件實時告警攔截后門落地監(jiān)控目錄/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/6.3 進程行為告警規(guī)則監(jiān)控zimbra用戶異常進程行為攔截反彈shell、文件下載、內(nèi)網(wǎng)掃描行為監(jiān)控特征zimbra用戶拉起curl、wget、bash、nc、python、nmap等非常規(guī)運維進程6.4 專屬Sigma檢測規(guī)則title:Zimbra CVE-2026-73570 命令注入攻擊檢測id:20260822-zimbra-rcestatus:experimentaldescription:檢測Zimbra SNMP通知模塊SMTP命令注入攻擊嘗試author:安全運維實戰(zhàn)logsource:product:linuxservice:zimbradetection:selection:logfile:/var/log/zimbra.logkeywords:-;-|--$-condition:selectionfalsepositives:-正常業(yè)務(wù)日志包含特殊符號極少level:critical七、服務(wù)器淪陷后完整應(yīng)急處置流程如果自查確認服務(wù)器存在入侵痕跡絕對不能簡單刪除后門文件、重啟服務(wù)器。zimbra用戶權(quán)限可篡改大量核心配置簡單清理無法徹底根除風(fēng)險我整理了標準化應(yīng)急處置流程。7.1 第一步隔離取證關(guān)鍵立即斷開服務(wù)器外網(wǎng)端口映射保留內(nèi)網(wǎng)連接禁止重啟服務(wù)器防止惡意內(nèi)存進程、定時任務(wù)丟失無法溯源完整備份系統(tǒng)日志、郵件日志、進程快照、文件修改記錄留存入侵取證數(shù)據(jù)暫停郵件服務(wù)對外解析防止淪陷服務(wù)器繼續(xù)發(fā)送惡意郵件污染企業(yè)域名信譽7.2 第二步全面風(fēng)險排查核查所有郵箱賬號清理攻擊者新增的郵件轉(zhuǎn)發(fā)、自動回復(fù)、過濾規(guī)則審計所有用戶登錄日志排查異地異常登錄、批量登錄行為核查系統(tǒng)權(quán)限確認攻擊者是否完成提權(quán)是否獲取root權(quán)限檢索所有惡意文件、后門腳本、定時任務(wù)統(tǒng)計入侵時間與攻擊范圍7.3 第三步安全整改與恢復(fù)重置所有Zimbra管理員賬號、普通用戶賬號密碼撤銷所有第三方應(yīng)用授權(quán)升級服務(wù)器至安全版本10.1.20完成漏洞永久修復(fù)清理所有惡意文件、異常進程、非法定時任務(wù)重置被篡改的系統(tǒng)配置開啟端口白名單、日志審計、實時監(jiān)控加固整體安全策略7.4 第四步業(yè)務(wù)復(fù)盤與追責核查入侵期間是否存在核心郵件數(shù)據(jù)泄露、客戶信息被盜、域名信譽受損等風(fēng)險必要時向相關(guān)方公示風(fēng)險做好輿情管控與合規(guī)報備。八、郵件服務(wù)器長期安全加固方案規(guī)避同類漏洞本次漏洞爆發(fā)暴露了絕大多數(shù)企業(yè)郵件服務(wù)器的通用安全短板我整理了長期加固策略規(guī)避后續(xù)同類未認證RCE漏洞風(fēng)險。最小化組件安裝郵件服務(wù)器僅安裝業(yè)務(wù)必需組件禁用所有監(jiān)控、日志、通知類非必要插件減少攻擊面端口最小權(quán)限管控25、110、465等郵件端口不默認全量開放外網(wǎng)僅放行可信IP段杜絕全網(wǎng)掃描攻擊分層防護策略不僅防護Web管理端口同步對SMTP、POP3等協(xié)議端口做流量審計、異常攔截定期漏洞巡檢每周執(zhí)行一次漏洞自查、日志審計、后門篩查提前發(fā)現(xiàn)潛在入侵痕跡版本迭代更新廢棄官方停止維護的軟件版本及時跟進安全補丁避免無補丁高危漏洞九、總結(jié)與互動提問CVE-2026-73570的在野利用核心風(fēng)險不在于漏洞復(fù)雜度而在于攻擊面隱蔽性。攻擊者繞過常規(guī)Web防護體系通過被忽視的SMTP端口實現(xiàn)零權(quán)限入侵這也是多數(shù)企業(yè)安全防護的共性盲區(qū)。所有運維、安全人員需要摒棄“郵件服務(wù)器默認安全”的固有認知協(xié)議層、組件層、端口層的精細化防護遠比單一的Web防護更重要。優(yōu)先完成資產(chǎn)自查、臨時加固業(yè)務(wù)低峰期完成版本升級才能徹底規(guī)避入侵風(fēng)險?；犹釂枤g迎評論交流1. 你的Zimbra服務(wù)器是否開啟過SNMP監(jiān)控功能本次自查是否發(fā)現(xiàn)高危攻擊面2. 你們企業(yè)目前對郵件SMTP端口采用全網(wǎng)開放還是IP白名單策略