أعلنت فرق الاستجابة الطارئة للأمن السيبراني في بولندا (CERT Polska) عن رصد استغلال نشط لثغرة خطيرة في نظام Zimbra Collaboration Suite (ZCS)، تحمل الرمز CVE-2026-73570 وتقييم خطورة CVSS 8.9. الثغرة تتعلق بوجود Command Injection في الحزمة الاختيارية zimbra-snmp عند تفعيل إشعارات SNMP، ما يسمح بتنفيذ أوامر نظام تشغيل بشكل غير موثوق من قبل مهاجم غير مصادق. وفقًا لقاعدة بيانات الثغرات الوطنية (NVD)، فإن المشكلة تعود إلى ضعف في آلية التحقق من مدخلات غير موثوقة أثناء معالجة إشعارات SNMP، مما يتيح لمهاجم إرسال طلبات SMTP مصممة خصيصًا تؤدي إلى تنفيذ أوامر عشوائية بصلاحيات مستخدم Zimbra.
خلفيات الاستغلال والتحذيرات
أصدرت شركة Zimbra تحديثًا أمنيًا في يوليو الماضي عبر الإصدار 10.1.20 لمعالجة هذه الثغرة، إلا أن تقارير CERT Polska أكدت أن المهاجمين بدأوا بالفعل في استغلالها بشكل نشط. وقد نصحت المؤسسات بفحص ملف /var/log/zimbra.log بحثًا عن عمليات إعادة تشغيل مشبوهة لخدمات Zimbra، بالإضافة إلى مراجعة الملفات التي تم إنشاؤها مؤخرًا في المسارات التالية:
- /opt/zimbra/jetty/webapps/
- /opt/zimbra/jetty_base/webapps/
- /tmp/
هذه المؤشرات قد تدل على محاولات اختراق أو تثبيت برمجيات خبيثة داخل بيئة الخادم.
سجل الهجمات السابقة على Zimbra
لم تكن هذه المرة الأولى التي تتعرض فيها Zimbra لهجمات واسعة النطاق. ففي يوليو 2025، كشفت الحكومة الأميركية عن حملة تصيّد إلكتروني نفذتها مجموعة مرتبطة بروسيا تُعرف باسم Laundry Bear (وتحمل أسماء أخرى مثل CL-STA-1114 وTA488 وVoid Blizzard). استهدفت هذه الحملة خوادم بريد Zimbra التابعة لجهات حكومية وتجارية غربية، مستغلة ثغرة CVE-2025-66376 في واجهة المستخدم الكلاسيكية Classic UI. وقد تم استخدام هذه الثغرة لنشر شيفرة خبيثة باسم ZimReaper، بهدف سرقة الاتصالات البريدية والبيانات الحساسة. هذا التاريخ الطويل من الاستهداف يجعل أي ثغرة جديدة في Zimbra محط اهتمام فوري من قبل المهاجمين.
الموقف الدولي والإجراءات العاجلة
في 21 أغسطس 2026، أضافت وكالة الأمن السيبراني والبنية التحتية الأميركية (CISA) الثغرة CVE-2026-73570 إلى قائمة الثغرات المستغلة فعليًا Known Exploited Vulnerabilities (KEV)، وألزمت الوكالات الفيدرالية المدنية بتنفيذ التحديثات الأمنية قبل 24 أغسطس 2026. هذا الإجراء يعكس خطورة الثغرة وضرورة التعامل معها بشكل عاجل، خاصة أن استغلالها لا يتطلب مصادقة مسبقة، ما يضاعف من احتمالية وقوع هجمات واسعة النطاق تستهدف المؤسسات الحكومية والخاصة على حد سواء.
