CVE-2026-73570
Synacor Zimbra Collaboration Suite (ZCS)
A remote code execution vulnerability exists in Zimbra Collaboration (ZCS) before 10.1.20 when the optional zimbra-snmp package is installed and SNMP notifications are enabled. Due to improper sanitization of untrusted input during SNMP notification processing, an unauthenticated attacker can send specially crafted SMTP requests that may result in execution of arbitrary operating system commands as the Zimbra user.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, sans authentification et sans action de la victime. L’attaque réclame toutefois des conditions particulières, ce qui la rend moins systématique.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et dégrader le service. L’atteinte déborde du composant vulnérable vers d’autres parties du système.
- Faiblesse
- Une entrée non filtrée atteint le shell du système : l’attaquant exécute ses propres commandes sur le serveur.
- Probabilité
- L’exploitation n’est pas une hypothèse : la CISA l’a constatée en conditions réelles.
À fairePriorité absolue : la CISA fixe l’échéance de remédiation au 24 août 2026. Commencer par les instances exposées à Internet.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.