Ransomware-атаки на серверы Zimbra через уязвимость CVE-2026-73570

Почтовые серверы Zimbra оказались под прицелом ransomware-группировок. Специалисты команды PT ESC IR столкнулись с новой атакой, в ходе которой злоумышленники эксплуатируют уязвимость CVE-2026-73570 и разворачивают на скомпрометированных серверах шифровальщик TargetZimbra. Согласно информации из открытых источников, аналогичные инциденты массово фиксируются на серверах Zimbra с середины августа, что говорит о широкомасштабной кампании, а не о единичном случае. Почтовый сервер — критичный элемент корпоративной инфраструктуры: через него проходят конфиденциальные данные, учётные записи и внутренняя переписка. Его компрометация угрожает не только потерей доступа к почте, но и утечкой чувствительной информации, а в случае с ransomware — полной или частичной потерей данных из-за шифрования.

Подробности

Атака строится на эксплуатации уязвимости CVE-2026-73570 в ПО Zimbra. После успешной эксплуатации злоумышленники разворачивают шифровальщик TargetZimbra, который шифрует данные на сервере. Именно эту связку — уязвимость плюс TargetZimbra — и зафиксировала команда PT ESC IR в ходе расследования конкретной кампании. Важный нюанс: отсутствие на сервере индикаторов компрометации, описанных в рамках этой конкретной кампании, не гарантирует безопасности. Уязвимость CVE-2026-73570 может использоваться и другими злоумышленниками — например, для установки майнеров или для атак APT-группировок, нацеленных на компрометацию инфраструктуры всей организации. Иными словами, риск не ограничивается одним шифровальщиком: речь идёт о более широкой угрозе для всех, кто использует неактуальные версии Zimbra. Отдельно стоит подчеркнуть, что атаки фиксируются массово с середины августа, а значит, временное окно для защиты собственной инфраструктуры уже сокращается.

Что делать

В первую очередь необходимо обновить Zimbra до актуальной версии — использование неактуального ПО остаётся ключевым фактором риска в этой кампании. Проверьте, какая версия установлена в вашей инфраструктуре, и как можно быстрее устраните отставание от актуальных релизов. Далее следует провести проверку почтовых серверов на наличие индикаторов компрометации, связанных с кампанией TargetZimbra, — они приведены в исходном исследовании PT ESC IR. При этом важно помнить: даже если индикаторов не найдено, это не повод расслабляться. Учитывая, что ту же уязвимость могут использовать майнеры и APT-группировки, проверку стоит проводить комплексно, а не только на предмет одного семейства шифровальщиков. Дополнительно рекомендуется усилить мониторинг активности на почтовых серверах и учесть риск CVE-2026-73570 в модели угроз организации. Для критичных сервисов имеет смысл убедиться в наличии актуальных резервных копий и в том, что они действительно могут быть восстановлены — это базовый, но действенный рубеж защиты от ransomware. Итог: уязвимость CVE-2026-73570 в неактуальных версиях Zimbra открывает дорогу как минимум для ransomware, а потенциально — и для майнеров с APT-атаками. Обновление ПО и проверка серверов на индикаторы компрометации — минимально необходимые шаги для защиты.

Источник: Positive Technologies Blog