30秒で判断
- 対応すべき人: ZCS 10.1.20 未満で、任意の
zimbra-snmpパッケージを導入し SNMP 通知を有効化している Zimbra 運用者 - 対応不要な人: Zimbra を使っていない、
zimbra-snmpを導入していない、SNMP 通知を無効化している、すでに 10.1.20 以降を利用している環境 - 確認方法:
zmcontrol -vでバージョンを確認。zimbra-snmpの導入有無と SNMP 通知設定を棚卸し
概要
メール／グループウェア基盤 Zimbra Collaboration (ZCS) に、認証されていない攻撃者が任意の OS コマンドを実行できるリモートコード実行の脆弱性（CVE-2026-73570、CWE-78）が公開されました。
任意コンポーネントである zimbra-snmp パッケージを導入し SNMP 通知を有効化している構成において、SNMP 通知処理時に信頼できない入力のサニタイズが不十分なため、細工された SMTP リクエストにより Zimbra ユーザー権限で任意コマンドが実行され得ます。
本脆弱性は CISA の Known Exploited Vulnerabilities (KEV) カタログに登録され、CERT Polska が実環境での悪用を報告しています。CVSS スコア（8.9）は High 帯ですが、実悪用が確認されているため優先度は最上位で扱ってください。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| Impact | 任意 OS コマンド実行（Zimbra ユーザー権限） |
| CVSS | 8.9（High、CWE-78） |
影響を受けるソフトウェア
| 製品 | 条件 | バージョン |
|---|---|---|
| Zimbra Collaboration (ZCS) | zimbra-snmp 導入かつ SNMP 通知有効 | < 10.1.20 |
修正バージョンと回避策
- 修正バージョン: ZCS 10.1.20 以降
- SNMP 通知が不要であれば無効化し、
zimbra-snmpパッケージの導入有無を棚卸ししてください。 - 実悪用が確認されているため、修正適用まではメールフロー・SMTP 受信のログ監視を強化することを推奨します。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database, CISA KEV AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。