CyberSecurityAction

脆弱性情報

ZimbraのRCE脆弱性CVE-2026-73570がCISA KEV追加—1.2万台超の露出サーバーに3日以内のパッチ義務

ZimbraコラボレーションスイートのSNMP通知処理にコマンドインジェクション。未認証攻撃者がOSコマンドをリモート実行可能。CISA KEV追加によりFCEB機関は2026年8月24日を期限にパッチ適用義務。世界1.2万台超が公開状態にあり早急な対応が必要である。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
ZimbraのRCE脆弱性CVE-2026-73570がCISA KEV追加—1.2万台超の露出サーバーに3日以内のパッチ義務

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）8.5

“悪用確認済み・CISA KEV追加・12,000台超が露出・FCEB期限到来”

01 · Overview

ニュースの概要

2026年8月24日、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）はZimbra Collaboration Suite（ZCS）のコマンドインジェクション脆弱性CVE-2026-73570をKEV（既知悪用脆弱性カタログ）に追加し、米連邦機関（FCEB）に対して同日を期限としたパッチ適用を命じた。本脆弱性はSNMP通知処理の入力サニタイズ不備に起因し、未認証の攻撃者がSMTPリクエストを細工することでZimbraユーザー権限での任意OSコマンド実行が可能である。悪用がすでに野放し状態で進行中であることをポーランドCERT（CERT Polska）が最初に確認している。

CVE-2026-73570はZCSのSNMP通知処理コンポーネントに存在するコマンドインジェクション脆弱性である。SNMP通知機能が有効化されているサーバーに対して、未認証の攻撃者がSMTPリクエストを特別に細工して送信することで、Zimbraユーザーとして任意のOSコマンドをリモートから実行できる。Zimbra社は2026年7月20日にバージョン10.1.20でこの問題を修正している。

セキュリティ監視組織Shadowserverによると、インターネット上に公開されているZimbraサーバーは1万2,000台超に達する。ZCSは政府機関数百社・企業数千社を含む数億人規模のユーザーが利用するメール・コラボレーション基盤であり、国内組織での採用例もある。CISAは8月24日にKEVカタログへの追加とともにFCEBエージェンシーへの3日以内（8月24日まで）のパッチ適用を命じており、この期限はすでに到来している。

CERT Polskaは調査チームに対して、Zimbraサービスの予期しない再起動、および/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/ディレクトリへのzimbraユーザーによるファイル作成（過去30日分）について不審なアクティビティをログで確認するよう要請している。過去にはAPT28やAPT29といった国家支援グループがZimbraの脆弱性を繰り返し標的としており、メールインフラへの継続的な攻撃リスクが高い状態にある。

CVE番号
CVE-2026-73570
悪用状況
積極的悪用確認済み
影響製品
Zimbra Collaboration Suite ≤10.1.19
修正バージョン
ZCS 10.1.20（2026-07-20公開）
露出サーバー数
12,000台超（Shadowserver）
CISA KEV追加日
2026年8月24日

CISAのKEVカタログ、Zimbra公式ブログ、BleepingComputerをもとに構成。CVSSスコアは本稿執筆時点でNVDに未掲載のため省略。調査継続中。

02 · Analysis

詳細な原因解説

本脆弱性はZCSのSNMP通知処理モジュールにおける入力値の不適切なサニタイズ（コマンドインジェクション）に起因する。ZCSはシステム監視のためにSNMP通知をサポートしており、通知内容をログ記録またはアラート処理するためにOSコマンドを呼び出す処理が含まれている。このコマンド構築過程で、外部から受信したSMTPリクエストのデータをメタキャラクターのエスケープを行わずにシェルコマンドに埋め込む実装が存在する。

攻撃者は細工したSMTPリクエストをZimbraサーバーの標準ポート（25/TCPなど）に送信することで、SNMP通知処理をトリガーし、挿入したOSコマンドをzimbraユーザーの権限で実行させることができる。認証が不要である点、およびSMTPポートがメールサーバーの性質上インターネット上に公開されている点から、攻撃の容易性と影響範囲がともに高い。

悪用の前提条件としてSNMP通知機能が有効化されている必要があるとされているが、大規模組織の本番環境では監視目的でSNMP通知を有効化しているケースが多く、実際の悪用リスクは高い状態にある。CERT Polskaによる最初の悪用確認から数日以内にCISAがKEV追加と緊急命令を発行した速度からも、脅威の深刻さが伺える。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Zimbraを初期侵入口とした攻撃チェーン

Q. ZimbraのRCEはサイバーキルチェーンのどの段階で最も影響が大きくなるか？

Zimbraサーバーはメール・カレンダー・ファイル共有等の機密データを集中管理するため、初期侵入（Initial Access）でRCEを得ることはKill Chainの序盤を一気に突破することを意味する。攻撃者はRCE後にzimbraユーザー権限でウェブシェルを設置し（Persistence）、サーバー上の全メールデータ・認証情報を窃取できる（Exfiltration）。過去のZimbra攻撃事例ではAPT28やAPT29といった国家支援グループが同様の手法でNATOや政府機関のメールを窃取しており、本件もこのパターンに合致するリスクがある。

メールインフラが後回しにされやすい構造的原因

Q. なぜZimbraのようなメールサーバーはパッチ適用が遅れやすいのか？

ZimbraはエンタープライズのITインフラ基盤として認識される一方、セキュリティチームによるパッチ管理の優先度が下がりやすい。理由としてはメール停止リスクへの懸念から変更作業を先送りする組織文化、および「常時公開サービス」であるにもかかわらず重要インフラとして認識されにくい点が挙げられる。今回の事例ではパッチ公開（7月20日）からCISA KEV追加（8月24日）まで約35日が経過しており、この間に悪用が進行していた。

侵害を前提とした緊急対応とパッチ適用の並行実施

CISAの3日期限（FCEB機関向け）がすでに到来しているため、未パッチ状態のZimbraサーバーは現在進行形で攻撃対象となっている可能性を前提に対応すべきである。パッチ適用前に侵害調査（IoC確認）を並行実施することを強く推奨する。

CERT Polskaが指摘したIoCチェック（/opt/zimbra/以下の不審ファイル、Zimbraサービスの予期しない再起動）を実施し、侵害の痕跡が確認された場合はフォレンジック調査へエスカレーションすること。過去のZimbra攻撃ではウェブシェル設置後に長期潜伏する事例があり、パッチ適用のみでは対処不十分となる場合がある。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のセキュリティ担当者です。自組織が運用するZimbra Collaboration Suiteサーバー（[台数]台）にCVE-2026-73570の影響があります。①侵害調査手順（IoCの確認方法・確認すべきログとパス）、②ZCS 10.1.20へのパッチ適用手順とメールダウンタイム最小化策、③SNMP設定の無効化または制限方法を含む緊急対応計画を立案してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種

自組織が運用するZimbraサーバーの台数

キーワード

  • Zimbra Collaboration Suite
  • CVE-2026-73570
  • コマンドインジェクション
  • CISA KEV
  • メールサーバー

SOURCES · 参考情報源