Zimbra ถูกฉีดคำสั่งผ่าน SMTP เร่งแพตช์ CVE-2026-73570

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-73570 ใน Synacor Zimbra Collaboration Suite (ZCS) ระบบอีเมลและงานร่วมกันที่หลายองค์กรติดตั้งเอง ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว โดย CISA เพิ่มเข้ารายการวันที่ 21 สิงหาคม 2026 และกำหนดแก้ไขภายในวันที่ 24 สิงหาคม 2026 ผู้ดูแลระบบที่ใช้ส่วนแจ้งเตือน SNMP ควรหยิบมาตรวจเป็นงานเร่งด่วน ดูรายละเอียดได้จาก รายการ KEV ของ CISA

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากใช้ Zimbra รุ่นก่อน 10.1.20 พร้อมแพ็กเกจ zimbra-snmp และเปิดการแจ้งเตือน SNMP ให้เร่งอัปเดตและตรวจร่องรอยบุกรุกทันที

เกิดอะไรขึ้น

ปัญหาเป็น OS command injection หรือข้อมูลจากภายนอกถูกตีความเป็นคำสั่งระบบ จุดที่ผิดอยู่ตอนประมวลผลการแจ้งเตือน SNMP ซึ่งจัดการข้อมูลที่รับเข้ามาไม่รัดกุม ผู้โจมตีอาจส่งคำขอ SMTP ที่เตรียมไว้ให้ข้อมูลไปถึงส่วนเรียกคำสั่งระบบ ตามบันทึก CVE-2026-73570

ผู้โจมตีไม่ต้องมีบัญชี และไม่ต้องรอให้ผู้ใช้เปิดอีเมล บันทึก CVE ระบุว่าอาจรันคำสั่งระบบด้วยสิทธิ์บัญชีบริการ Zimbra ได้ คะแนน CVSS 3.1 เท่ากับ 8.9 ระดับ High ผู้ดูแลต้องตรวจทั้งรุ่น แพ็กเกจเสริม และการเปิดแจ้งเตือน SNMP เพื่อดูว่าเข้าเงื่อนไขหรือไม่

ใครโดนและรุ่นที่แก้

บันทึก CVE ระบุว่าได้รับผลกระทบในรุ่นก่อน 10.1.20 เมื่อติดตั้งแพ็กเกจเสริม zimbra-snmp และเปิด SNMP notifications ส่วน Zimbra Security Advisories ยืนยันรุ่นแก้ไขดังนี้

ประกาศแพตช์ของ Zimbra ลงวันที่ 20 กรกฎาคม 2026 ระบุว่ารุ่น 10.1.20 มีการแก้ช่องโหว่ SNMP แบบถาวร ผู้ดูแลที่เคยทำ mitigation ตามประกาศก่อนหน้านั้นยังควรวางแผนอัปเดตให้ถึงรุ่นที่มีแพตช์ สำหรับรุ่นเก่าที่หมดการสนับสนุน ให้ย้ายไปสายรุ่นที่ผู้ผลิตยังดูแลและมีการแก้ไขนี้

ต้องทำอะไร

ตรวจทุกเครื่องที่เป็นส่วนหนึ่งของระบบ Zimbra จดรุ่นที่ติดตั้ง และตรวจว่ามี zimbra-snmp กับเปิด SNMP notifications ไว้หรือไม่ หากเข้าเงื่อนไข ให้สำรองข้อมูลและเร่งลงแพตช์ตามคู่มือ Zimbra เลือกขั้นตอนให้ตรงกับระบบปฏิบัติการและหน้าที่ของแต่ละเครื่อง หลังอัปเดตให้ตรวจรุ่นและทดสอบรับส่งอีเมล

หากยังอัปเดตไม่ได้ ให้ติดต่อฝ่ายสนับสนุนของ Zimbra เพื่อใช้ขั้นตอน mitigation ที่ตรงกับรุ่นและเส้นทางอัปเกรด ผู้ผลิตระบุใน หมายเหตุรุ่น 10.1.19 ว่าผู้ที่ย้ายจาก 10.0.x, 9.0.x หรือ 8.8.15 ต้องปรับและทำ SNMP mitigation ซ้ำหลังอัปเกรดเป็น 10.1.19 อย่าถือว่าวิธีลดความเสี่ยงที่เคยทำไว้จะคงอยู่ครบทุกกรณี

ควรตรวจร่องรอยโจมตีไปพร้อมกัน CERT Polska แนะนำให้ตรวจรายการ Service status change ที่ผิดปกติใน /var/log/zimbra.log และไฟล์ที่บัญชีบริการสร้างใน /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ และ /tmp/ หากพบสิ่งน่าสงสัย ให้เก็บหลักฐานและตรวจสอบเหตุบุกรุกต่อ การลงแพตช์อย่างเดียวไม่ได้บอกว่าเครื่องปลอดจากการบุกรุกแล้ว

ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วนสำหรับระบบที่เข้าเงื่อนไข เพราะมีการโจมตีจริงและเป็นการสั่งงานเซิร์ฟเวอร์โดยไม่ต้องล็อกอิน

ที่มา: CVE-2026-73570 และ CISA KEV หากมีรายละเอียดจากผู้ผลิตที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ