O seu servidor Zimbra tem SNMP ligado? Já há ataques sem qualquer palavra-passe

Uma falha crítica no Zimbra Collaboration Suite (ZCS) está a ser explorada em ataques reais contra servidores de correio expostos à Internet. A equipa de resposta a incidentes polaca CERT Polska reportou exploração ativa da CVE-2026-73570, uma vulnerabilidade de execução remota de código causada por injeção de comandos no componente de monitorização SNMP quando as notificações SNMP estão ativas, permitindo que um atacante não autenticado envie pedidos SMTP especialmente construídos e execute comandos do sistema operativo com os privilégios do utilizador zimbra. O aviso, publicado a 17 de agosto de 2026 sob a designação Alert 145/2026, apela a que os administradores atualizem com urgência e verifiquem sinais de comprometimento.

O que é a CVE-2026-73570

Trata-se de uma vulnerabilidade de injeção de comandos do sistema operativo (OS command injection) que resulta em execução remota de código. A falha afeta o Zimbra Collaboration em versões anteriores à 10.1.20, foi publicada a 13 de agosto de 2026 e tem uma pontuação CVSS de 8.9; um atacante remoto e não autenticado pode explorar a sanitização deficiente de entrada durante o processamento de notificações SNMP para executar comandos arbitrários como utilizador Zimbra, sendo necessário que o pacote opcional zimbra-snmp esteja instalado e as notificações SNMP ativas.

O detalhe que torna esta falha particularmente perigosa é o vetor de entrada. O atacante envia pedidos SMTP construídos à medida, que são depois processados pelo mecanismo vulnerável de notificação SNMP; por falta de validação ou escape adequados, dados controlados pelo atacante acabam injetados em comandos do sistema operativo executados pelo utilizador Zimbra. Ou seja, basta que o servidor aceite correio — a função primária de qualquer servidor de e-mail — para que o caminho de ataque exista.

Que configurações estão realmente em risco

Nem todas as instalações Zimbra são exploráveis. A falha afeta implementações onde as notificações SNMP (traps) foram ativadas através do parâmetro snmp_notify e o serviço swatchdog está em execução — e como o swatchdog está ativo por defeito, a revisão de configuração é especialmente importante para as organizações que instalaram e ativaram a funcionalidade opcional zimbra-snmp. Na prática, a variável determinante é ter ou não as notificações SNMP ligadas: muitas equipas de sistemas ativam-nas para monitorizar a saúde do servidor e o estado dos serviços, sem imaginar que estão a abrir um caminho para execução de comandos.

Cronologia: da divulgação à exploração

Vale a pena sublinhar a janela: entre o lançamento do patch e a confirmação de ataques passaram menos de quatro semanas. Antes da 10.1.20, os administradores dispunham apenas de uma mitigação temporária para a falha de SNMP divulgada em junho — o que significa que instalações que aplicaram apenas o contorno provisório e nunca chegaram à atualização podem continuar em risco.

Indicadores de comprometimento e deteção

O CERT Polska publicou orientações de deteção para quem precisa de investigar um eventual comprometimento:

• Inspecionar o ficheiro /var/log/zimbra.log à procura de mensagens suspeitas de estado de serviço, indicando um payload desconhecido ou malicioso que transita de parado para em execução, ou de em execução para parado — atividade que pode significar que um atacante abusou do fluxo de notificação vulnerável para arrancar ou parar processos por si controlados
• Verificar reinícios inesperados de serviços Zimbra e a presença de ficheiros invulgares em /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/, criados pelo utilizador Zimbra nos últimos 30 dias

A escolha destes diretórios não é casual: são os locais típicos onde um atacante coloca uma web shell ou prepara payloads adicionais depois de obter execução de comandos num servidor Zimbra.

O que fazer agora

• Atualizar sem demora. A correção está disponível no ZCS 10.1.20, lançado a 20 de julho de 2026, e deve ser aplicada de imediato.
• Avaliar a necessidade do SNMP. Onde a atualização imediata for operacionalmente difícil, os defensores devem avaliar se a funcionalidade de traps SNMP é essencial e, quando viável, considerar desativar a configuração afetada — mas alterações de configuração não substituem a atualização para uma versão corrigida.
• Não aplicar só o remendo do SNMP. A ausência de notificações SNMP pode remover a exposição à injeção de comandos, mas não resolve as restantes oito falhas de segurança corrigidas na mesma versão.
• Agir como se pudesse já ter sido atingido. Organizações que detetem indícios de exploração devem preservar registos e ficheiros suspeitos, isolar os sistemas afetados quando necessário, rodar credenciais potencialmente expostas e envolver de imediato a equipa de resposta a incidentes.

Convém ainda lembrar o que o ZCS 10.1.20 traz para além do SNMP. O mesmo patch corrige quatro vulnerabilidades de cross-site scripting no Classic Web Client — ativáveis por nomes de anexos manipulados, campos de mensagem alterados ou anexos malformados — bem como a CVE-2026-50055 (contorno de restrições de reencaminhamento de correio), a CVE-2026-10631 (falha de controlo de acesso na extensão Exchange Web Services), a CVE-2026-50054 (problema de autorização na delegação de caixas de correio) e um SSRF na integração com o Nextcloud.

Zimbra: um alvo recorrente em 2026

Esta não é a primeira vez este ano que servidores Zimbra estão na linha da frente. A 23 de julho de 2026, a CISA, a NSA, o FBI e parceiros internacionais publicaram um aviso conjunto sobre uma campanha de phishing dirigida a utilizadores do Zimbra Collaboration Suite, atribuída ao grupo russo conhecido sobretudo como LAUNDRY BEAR, com foco em organizações governamentais e comerciais ocidentais e aparente objetivo de recolha de dados de correio eletrónico para espionagem; o documento inclui mitigações, indicadores de comprometimento e passos de remediação. Meses antes, mais de 10 mil instâncias ZCS expostas online estavam vulneráveis a ataques que exploravam a CVE-2025-48700, segundo a organização Shadowserver.

A superfície de exposição continua ampla: a Shadowserver acompanha mais de 12 100 servidores Zimbra expostos à Internet, muitos deles na Europa e na Ásia, sem que seja claro quantos estão atualizados. A exploração ativa da CVE-2026-73570 reforça a tendência de ataque a infraestrutura de correio exposta: servidores Zimbra alojam frequentemente comunicações sensíveis, material de autenticação e dados internos, o que os torna atrativos para espionagem, ransomware e atores com motivação financeira.

Porque é que isto importa em Portugal

O Zimbra é uma escolha comum em autarquias, instituições de ensino, entidades públicas e PME que preferem manter o correio eletrónico em infraestrutura própria, muitas vezes gerida por equipas pequenas ou por prestadores externos. É precisamente nesse cenário que uma versão desatualizada pode passar meses sem ser tocada — e onde um patch de julho ainda não foi aplicado em agosto.

Do ponto de vista legal, um servidor de correio comprometido raramente é um incidente “apenas técnico”. Se o atacante obtém execução de comandos com privilégios do utilizador zimbra, o acesso a caixas de correio implica dados pessoais, e o RGPD obriga o responsável pelo tratamento a avaliar a notificação da violação à CNPD e, quando houver risco elevado, a comunicação aos titulares. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), acresce o dever de gestão de vulnerabilidades e de notificação de incidentes significativos, com prazos apertados de reporte.

Em território nacional, a coordenação da resposta cabe ao CERT.PT. O CERT.PT é o serviço do CNCS que coordena a resposta a incidentes envolvendo a Administração Pública, operadores de infraestruturas críticas, operadores de serviços essenciais e prestadores de serviços digitais, além de todo o ciberespaço nacional — e as notificações de incidentes podem ser enviadas para [email protected]. A recomendação prática é simples: inventarie os seus servidores Zimbra, confirme a versão instalada, verifique se o SNMP está ativo e, se houver qualquer dúvida sobre a integridade do sistema, trate-o como potencialmente comprometido até prova em contrário.

Perguntas frequentes

A minha instalação Zimbra está vulnerável à CVE-2026-73570?

Se estiver a correr uma versão anterior à 10.1.20, sim, deve atualizar. A exploração desta falha específica exige o pacote opcional zimbra-snmp instalado, o parâmetro snmp_notify ativo e o serviço swatchdog em execução — este último está ativo por defeito. Ainda que não use SNMP, a versão 10.1.20 corrige outras falhas relevantes.

Desativar o SNMP é suficiente como mitigação?

Reduz a exposição a esta vulnerabilidade em concreto, mas não é solução. As orientações públicas são claras: alterações de configuração não substituem a atualização para uma versão corrigida, até porque o mesmo patch resolve várias outras falhas, incluindo XSS no Classic Web Client e problemas de controlo de acesso.

Como sei se o meu servidor já foi comprometido?

Procure no /var/log/zimbra.log mensagens suspeitas de estado de serviço com payloads desconhecidos a passar de parado para em execução, ou vice-versa. Verifique também reinícios inesperados de serviços e ficheiros invulgares criados pelo utilizador Zimbra nos últimos 30 dias em /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/.

Tenho de notificar as autoridades se detetar um comprometimento?

Depende do enquadramento. Se houver acesso a dados pessoais, aplicam-se as obrigações de notificação de violação previstas no RGPD, com avaliação de comunicação à CNPD. Se a entidade estiver abrangida pelo Regime Jurídico da Cibersegurança, acrescem os deveres de notificação de incidentes significativos ao CNCS. Em caso de dúvida, contacte o CERT.PT.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo CERT Polska, pela Zimbra, pela National Vulnerability Database, pelo Centro Canadiano de Cibersegurança, pela CISA/NSA/FBI e pela Shadowserver Foundation.