Zimbra Collaboration Suite（ZCS）を運用する組織は、CVE-2026-73570への対応を急ぐ必要があります。
この脆弱性は実際の攻撃で使われており、修正版への更新だけでなく、更新前に侵害されていないかの確認も必要です。
影響するのは、10.1.20より前のZCSで、オプションのzimbra-snmpパッケージを導入し、SNMP通知を有効にしている環境です。
該当しないと判断する前に、バージョンと構成をそれぞれ確認してください。
CVE-2026-73570で確認されたこと
Zimbraのセキュリティアドバイザリは、SNMP通知が有効な場合にSNMP監視コンポーネントで発生するコマンドインジェクションを、ZCS 10.1.20で修正したと説明しています。
この修正はCVE-2026-73570を対象としており、同じ一覧には別の脆弱性も掲載されています。
米国NVDのCVE情報によると、認証されていない攻撃者が細工したSMTPリクエストを送り、Zimbraユーザーの権限で任意のOSコマンドを実行できる可能性があります。
MITREが付けたCVSS v3.1の基本値は8.9で、深刻度はHighです。
NVD自身の評価値は記事作成時点で未提示なので、8.9をNVD独自の採点として扱うのは正確ではありません。
CERT Polskaの通知は、CVE-2026-73570を悪用する活動が進行中だと報告しています。
米国CISAのKnown Exploited Vulnerabilities Catalogにも8月21日付で追加され、米国連邦政府機関向けの期限は8月24日とされました。
カナダ・サイバーセキュリティセンターも8月21日の更新でCISAによる追加を案内しています。
ただし、公開情報から攻撃主体、被害組織数、侵入後の活動の全容までは確認できません。
「実悪用されている」という事実から、特定の攻撃者や被害規模を推測することは避けるべきです。
影響条件を順番に切り分ける
確認は製品名だけで終わらせず、バージョン、パッケージ、機能設定の三つに分けます。
NVDが示す影響条件は、ZCS 10.1.20未満、zimbra-snmpパッケージの導入、SNMP通知の有効化です。
| 確認項目 | 確認する内容 | 判断 |
|---|---|---|
| ZCSのバージョン | 10.1.20より前か | 該当するなら更新を優先する |
| パッケージ | zimbra-snmpが導入されているか | 資産台帳と実機の両方で確かめる |
| 機能設定 | SNMP通知が有効か | 過去の設定変更も含めて確認する |
| 外部到達性 | SMTPサービスがどこから到達できるか | 公開範囲を侵害調査の優先度に反映する |
10.1.20以上であることは、このCVEへの修正状況を示します。
ZCSに存在するすべての脆弱性が解消済みだという意味ではないため、Zimbraが公開する最新のセキュリティ情報も継続して確認してください。
更新と侵害確認を並行する
1．調査に必要な記録を保全する
侵害の疑いがある場合は、ログや不審ファイルを削除する前に、組織のインシデント対応手順に沿って記録を保全します。
更新作業を先に進める必要があっても、調査に必要な時刻情報、設定、ログが失われないよう担当者間で作業順を合わせます。
2．ZCS 10.1.20以降へ更新する
Zimbraは修正版として10.1.20を示しています。
保守対象の配布経路とZimbraの手順を確認し、バックアップ、更新、動作確認までを一つの変更作業として記録してください。
一時的な構成変更だけを恒久策とせず、修正版の適用を完了させます。
3．Zimbraのログを確認する
CERT Polskaは、/var/log/zimbra.logで「Service status change」に続いて不審な内容が記録された行を探すよう案内しています。
攻撃用の文字列をそのまま共有範囲の広いチケットへ貼り付けず、組織の安全な調査環境で扱ってください。
4．直近30日間に作成されたファイルを調べる
CERT Polskaは、Zimbraユーザーが直近30日間に/opt/zimbra/jetty/webapps/、/opt/zimbra/jetty_base/webapps/、/tmp/へ作成したファイルの確認も求めています。
正規ファイルとの比較には、導入時の記録、パッケージ情報、既知の正常状態を使います。
5．兆候があれば封じ込めと復旧へ移る
不審なログやファイルを見つけた場合、単に削除して運用へ戻すのは適切ではありません。
対象サーバーの隔離、影響範囲の調査、侵入経路の閉鎖、必要な認証情報や秘密情報の更新、信頼できる状態からの復旧を、組織の対応計画と専門家の判断に沿って進めます。
CERT Polskaも、悪用の兆候を検出した場合は同組織へ速やかに連絡するよう案内しています。
更新だけで調査が終わらない理由
修正版は、脆弱な処理を使う新たな攻撃を防ぐための対策です。
しかし、更新前に実行されたコマンドや設置されたファイルまで自動的に取り除くとは限りません。
実悪用が確認された脆弱性では、修正と侵害確認を別の作業として扱い、両方の完了条件を記録する必要があります。
CISAが連邦政府機関向けに示した期限は、すべての民間組織に同じ法的義務を課すものではありません。
一方で、KEVへの掲載は実悪用の証拠に基づくため、組織が更新の優先順位を決める材料になります。
運用担当者の確認項目
- ZCSのバージョン、zimbra-snmpの導入状況、SNMP通知設定を記録する
- 影響環境をZCS 10.1.20以降へ更新し、サービスの動作を確認する
- 更新前のログと設定を保全し、CERT Polskaが示した痕跡を調べる
- 指定された三つのディレクトリで、Zimbraユーザーが直近30日間に作成したファイルを確認する
- 不審な兆候があれば通常運用へ戻さず、組織のインシデント対応を開始する
- 資産台帳と脆弱性管理台帳へ、影響判定、更新日、調査結果、担当者を残す
編集部の見解
今回の公表情報は、条件を絞って点検できる点で実務に生かしやすいものです。
製品名だけで一律に混乱するのではなく、構成を確認して対象を切り分け、該当環境には更新と調査の担当を割り当てることが、早く確かな対応につながります。
この対応を一度限りにせず、セキュリティ情報の受信、資産との照合、変更作業、侵害確認までを同じ運用に組み込めば、次の緊急更新でも判断が速くなります。
更新できた台数だけでなく、影響判定と調査を完了した台数まで追う運用が望まれます。
参考資料
- Zimbra Security Advisories
- CERT Polska「Zimbra Collaboration Suiteで実悪用されている脆弱性」
- NVD「CVE-2026-73570 Detail」
- CISA Known Exploited Vulnerabilities Catalog
- Canadian Centre for Cyber Security「Zimbra security advisory (AV26-816)」
- 株式会社greeden公式サイト
この記事に関連する株式会社greedenの取り組み
今回の教訓は、更新の速さと侵害確認を同じ運用に組み込むことです。株式会社greedenは、Webシステム開発から保守・運用改善まで支援し、継続して見直せる仕組みづくりに伴走します。