VLOBS.COM – Microsoft Threat Intelligence melacak upaya pemindaian dan eksploitasi celah pada Zimbra Collaboration Suite beberapa pekan sebelum kerentanan itu diumumkan ke publik. Setelah menemukan server yang rentan, penyerang berupaya mencuri kredensial, mengakses kotak surat, dan mengambil kendali lebih jauh atas sistem.
Celah yang tercatat sebagai CVE-2026-73570 itu merupakan kerentanan command injection tanpa autentikasi. Menurut Microsoft, penyerang dapat mengirim email yang dirancang khusus ke server yang terhubung ke internet untuk berpotensi menjalankan perintah. Namun, kerentanan ini hanya berdampak pada server yang menjalankan paket pemantauan SNMP opsional milik Zimbra dengan notifikasi diaktifkan.
Pemindaian terdeteksi sebelum pengungkapan publik
Zimbra memperbaiki celah tersebut melalui versi 10.1.20 pada 20 Juli, sedangkan CVE-2026-73570 baru diungkapkan ke publik pada 13 Agustus. Microsoft mendeteksi dua alat pemindaian berbeda yang menyelidiki bagian Zimbra yang kemudian digunakan dalam serangan, dalam periode 28 Juli hingga 7 Agustus.
Baca juga: Brian Chesky: Agen AI Membutuhkan Sistem Operasi Khusus
Awalnya, aktivitas itu tampak berfokus pada pencarian server rentan dan pengujian celah. Penyerang memakai sejumlah utilitas jaringan umum untuk membuat sistem menghubungi infrastruktur yang mereka kendalikan, guna memastikan bahwa perintah dapat dijalankan.
Setelah menemukan server yang rentan, mereka memasang web shell dan reverse shell, meningkatkan hak akses, memasang alat untuk mempertahankan akses jarak jauh, serta menjalankan kode berbahaya langsung di memori. Microsoft juga menemukan upaya menyamarkan aktivitas: penyerang sementara mengubah izin pada direktori publik untuk menanam web shell, lalu mengembalikannya ke pengaturan semula.
Baca juga: OpenAI Hadirkan Agen Dots untuk Saingi Muse, tetapi Berbayar
Kredensial dan kotak surat menjadi sasaran
Penyerang turut menjelajahi lingkungan Zimbra untuk menemukan server email lain dan koneksi tepercaya yang dapat digunakan untuk berpindah antarsistem. Dalam beberapa kasus, hubungan SSH yang sudah ada antara sistem Zimbra membuka akses ke server di sekitarnya. Pada setidaknya satu mesin yang disusupi, mereka memperoleh akses root dan menyiapkan cara untuk menjalankan perintah dengan hak istimewa tertinggi tanpa kata sandi.
Microsoft mengatakan para penyerang mencari kredensial Zimbra dan rahasia autentikasi yang berpotensi memberi akses ke akun pengguna. Salah satu alat berbahaya yang ditemukan dirancang untuk mengambil kredensial akun layanan serta informasi kotak surat dari basis data Zimbra.
Dalam insiden lain, penyerang mengemas cadangan kotak surat terbaru ke dalam arsip dan mencoba mengirimkannya ke Azure Blob Storage menggunakan utilitas AzCopy milik Microsoft. Microsoft menyatakan bukti yang tersedia tidak cukup untuk memastikan apakah transfer tersebut berhasil.
Baca juga: Enam Pemimpin Teknologi Dukung Komitmen Keamanan AI Trump
Organisasi terdampak ditemukan di beberapa kawasan dan industri. Microsoft melihat pola serangan yang mencakup eksploitasi otomatis hingga aktivitas langsung yang dilakukan operator, tetapi belum mengaitkannya dengan kelompok tertentu.
Administrator yang menggunakan versi Zimbra lebih lama dari 10.1.20 disarankan memperbarui ke versi 10.1.20 atau yang lebih baru. Jika belum dapat memasang pembaruan, paparan dapat dikurangi dengan menghapus paket SNMP opsional atau menonaktifkan notifikasi SNMP.
