CVEノート

最近の脆弱性 › CVE-2026-73570

Synacor Zimbra Collaboration Suite (ZCS) のOSコマンドインジェクションの脆弱性（CVE-2026-73570）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2026-73570
製品Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）8.9 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L
KEVへの追加日2026-08-21
米国政府機関の対応期限2026-08-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78

何が起きた

メールなどのソフト Zimbra Collaboration Suite（ZCS）に、OS のコマンドを紛れ込まされる弱点（OS コマンドインジェクション）が見つかり、実際に悪用が確認されています。SNMP（機器の状態を知らせる仕組み）の通知を処理するときに、外から来た値を正しく無害にしていませんでした。そのため、ログインしていない攻撃者に、細工したメールの通信（SMTP）を送られると、Zimbra を動かしている OS のアカウント（zimbra）の権限で、任意の OS のコマンドを実行されるおそれがあります。この弱点は、追加の部品 zimbra-snmp を入れて、SNMP の通知を有効にしている場合が対象です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したSMTPの通信を送る → 2. SNMPの通知の処理に値が紛れ込む → 3. OSのコマンドを実行される1攻撃者が細工したSMTPの通信を送る2SNMPの通知の処理に値が紛れ込む3OSのコマンドを実行される攻撃の流れ: 1. 攻撃者が細工したSMTPの通信を送る → 2. SNMPの通知の処理に値が紛れ込む → 3. OSのコマンドを実行される1攻撃者が細工したSMTPの通信を送る2SNMPの通知の処理に値が紛れ込む3OSのコマンドを実行される

誰が影響を受ける

Zimbra Collaboration Suite の 10.1.20 より前のバージョンで、zimbra-snmp を入れて SNMP の通知を有効にしている組織が影響を受けます。

何をすればいい

Zimbra を 10.1.20 以降に更新してください。公式の一覧では、この弱点の修正版は 10.1 系の 10.1.20 だけです。10.1 系より古い系列を使っている場合は、10.1.20 以降への移行が必要です。

やることチェックリスト

用語メモ

SNMP
ネットワークの機器やサーバーの状態を集めたり、知らせたりするための仕組みです。
SMTP
メールを送るときに使われる通信の決まりごとです。

元データ（英語・CISA KEV より）

Zimbra Collaboration Suite (ZCS) OS Command Injection Vulnerability

概要

Zimbra Collaboration Suite (ZCS) contains an OS command injection vulnerability which could allow an unauthenticated attacker to send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

公式情報