Wer seinen eigenen Mailserver betreibt, kennt das Gefühl: Läuft alles, schaut man ein halbes Jahr nicht mehr hin. Bei Zimbra Collaboration wird das gerade teuer. Eine Lücke, die seit Juli einen Patch hat, wird nachweislich ausgenutzt — und die meisten Betreiber wissen nicht einmal, dass der betroffene Dienst bei ihnen mitläuft.
GEFAHR: Ein Überwachungsdienst wird zur offenen Tür
Die Schwachstelle trägt die Kennung CVE-2026-73570 und steckt in der SNMP-Überwachung. SNMP ist ein uraltes Protokoll, mit dem Server ihren Zustand melden — Auslastung, Speicher, Dienste. Nützlich, unauffällig, meistens vergessen.
Ist bei Zimbra das optionale Paket zimbra-snmp installiert und sind SNMP-Benachrichtigungen aktiviert, kann ein Angreifer speziell gebaute Anfragen schicken. Ergebnis: Er führt Betriebssystem-Befehle unter dem Benutzerkonto zimbra aus — ganz ohne Zugangsdaten. Der Bewertungswert liegt bei CVSS 8.9, also im oberen Bereich.
Was das praktisch bedeutet: Wer dieses Konto kontrolliert, kontrolliert die Mailablage. Postfächer lesen, Nachrichten umleiten, Zugangsdaten abgreifen, sich dauerhaft einnisten — alles wird zur reinen Fleißarbeit.
UNGLAUBLICH: Der Patch ist seit Juli da
Zimbra hat das Problem am 20. Juli 2026 mit Version 10.1.20 geschlossen. Trotzdem meldete das polnische CERT am 17. August aktive Angriffe auf verwundbare Server. Kurz darauf nahm die US-Behörde CISA die Lücke in ihren Katalog der bekannt ausgenutzten Schwachstellen auf und setzte Bundesbehörden eine Frist bis zum 24. August 2026.
Diese Frist gilt formal nur für US-Behörden. Sie ist aber ein sehr brauchbarer Gradmesser: Wenn eine Behörde binnen weniger Tage patchen muss, gehen die Fachleute von breiter, laufender Ausnutzung aus. Für dein privates oder betriebliches Zimbra heißt das schlicht: heute, nicht nächste Woche.
So prüfst du deinen Server
- Version feststellen. Auf dem Server als Benutzer zimbra
zmcontrol -vausführen. Alles unterhalb von 10.1.20 ist betroffen. - SNMP-Paket prüfen. Mit der Paketverwaltung deiner Distribution nach
zimbra-snmpsuchen. Ist es nicht installiert, bist du nach aktuellem Stand außen vor — aber prüfe trotzdem die Version. - Aktualisieren. Auf 10.1.20 oder neuer gehen. Vorher ein Sicherungsabbild oder einen Snapshot anlegen, Zimbra-Updates sind selten spurlos.
- Erreichbarkeit einschränken. SNMP hat im offenen Internet nichts verloren. Der zugehörige Port gehört hinter die Firewall oder ins VPN — dauerhaft, unabhängig von dieser einen Lücke.
- Nachsehen, ob schon etwas passiert ist. Prüfe die Zimbra-Protokolle auf ungewöhnliche Prozesse, neue Cron-Einträge und veränderte Weiterleitungsregeln in Postfächern.
EXTRA-TIPP: Die stille Regel für Zusatzpakete
Der Fall ist ein Musterbeispiel für ein Muster, das sich ständig wiederholt: Nicht die Kernanwendung reißt das Loch, sondern ein optionales Zusatzpaket, das bei der Erstinstallation mal eben mit angehakt wurde.
Nimm dir einmal im Quartal zehn Minuten und geh die installierten Zusatzpakete deiner Serverdienste durch. Alles, was du nicht aktiv nutzt, fliegt raus. Das ist die billigste Sicherheitsmaßnahme überhaupt — sie kostet nichts und entfernt Angriffsfläche vollständig, statt sie nur abzusichern.
FAZIT: Patchen und SNMP einsperren
Ein Update auf 10.1.20 löst das akute Problem. Die eigentliche Lehre steckt aber in der Netzwerkkonfiguration: Ein Überwachungsprotokoll, das aus dem offenen Internet erreichbar ist, ist ein Problem, das nur auf die nächste Lücke wartet.