CVE-2026-73570 Zimbra: Celah Keamanan yang Aktif Dieksploitasi dan Cara Mengatasinya

Administrator Zimbra Collaboration Suite perlu memperhatikan vulnerability terbaru CVE-2026-73570.

Kerentanan ini berada pada komponen SNMP monitoring dan Swatchdog dan dapat memungkinkan terjadinya OS command injection pada kondisi tertentu.

Yang membuat vulnerability ini perlu segera ditangani adalah statusnya yang sudah aktif dieksploitasi. CERT Polska melaporkan adanya serangan yang memanfaatkan vulnerability ini, sementara Zimbra telah menyediakan perbaikannya melalui Zimbra 10.1.20.

Jika server Zimbra Anda masih menggunakan versi sebelum 10.1.20, sebaiknya mulai lakukan pengecekan.

Apa Itu CVE-2026-73570?

CVE-2026-73570 merupakan vulnerability yang berkaitan dengan pemrosesan SNMP notification pada Zimbra.

Pada konfigurasi tertentu, input yang diproses oleh Swatchdog dapat dimanipulasi sehingga memungkinkan attacker menjalankan command pada sistem dengan hak akses user zimbra.

Vulnerability ini dikategorikan sebagai OS Command Injection (CWE-78).

Tidak semua instalasi Zimbra otomatis berada dalam kondisi rentan. Risiko terutama berkaitan dengan konfigurasi yang menggunakan SNMP notification/trap dan Swatchdog.

Namun, karena vulnerability ini sudah dieksploitasi secara aktif, pemeriksaan tetap perlu dilakukan meskipun selama ini server terlihat berjalan normal.

Cek Versi Zimbra

Langkah pertama adalah mengetahui versi Zimbra yang sedang digunakan.

Jalankan:

su - zimbra
zmcontrol -v

Jika masih menggunakan versi sebelum 10.1.20, server perlu masuk dalam daftar remediation.

Zimbra 10.1.20 telah memasukkan security fix untuk vulnerability pada komponen SNMP monitoring ini.

Cara Mengatasi CVE-2026-73570

Upgrade ke Zimbra 10.1.20

Upgrade merupakan solusi utama yang direkomendasikan.

Sebelum melakukan upgrade pada server production, pastikan backup tersedia dan konfigurasi custom sudah didokumentasikan.

Untuk environment dengan beberapa node, external LDAP, proxy, MTA, atau integrasi monitoring, lakukan pengecekan topology terlebih dahulu agar proses upgrade tidak mengganggu layanan email.

Jika Belum Bisa Upgrade

Jika maintenance window belum tersedia, administrator dapat melakukan mitigasi sementara.

Apabila SNMP tidak digunakan, service tersebut dapat dinonaktifkan:

sudo su - zimbra -c 'zmswatchctl stop'
sudo su - zimbra -c 'zmprov ms $(zmhostname) -zimbraServiceEnabled snmp'

Pastikan terlebih dahulu bahwa tidak ada sistem monitoring yang bergantung pada SNMP.

Jika SNMP masih diperlukan, salah satu bagian yang dapat diperketat adalah konfigurasi Swatchdog.

Mitigasi Swatchdog pada swatchrc.in

File konfigurasi yang perlu diperiksa:

/opt/zimbra/conf/swatchrc.in

Sebelum melakukan perubahan, buat backup:

cp /opt/zimbra/conf/swatchrc.in \
   /opt/zimbra/conf/swatchrc.in.bak

Cari konfigurasi berikut:

/: Service status change: (\S+) (.*) changed from stopped to running/
/: Service status change: (\S+) (.*) changed from running to stopped/

Kemudian ubah menjadi:

/: Service status change: (\S+) ([a-z0-9_-]+) changed from stopped to running/
/: Service status change: (\S+) ([a-z0-9_-]+) changed from running to stopped/

Perubahan tersebut membatasi karakter yang dapat diterima pada nama service sehingga input yang diproses menjadi lebih ketat.

Selain pattern tersebut, periksa juga fungsi dosnmp pada file yang sama. Hindari mekanisme yang membangun command melalui shell menggunakan input yang berasal dari event Swatchdog.

Amankan Fungsi dosnmp

Masih di dalam file /opt/zimbra/conf/swatchrc.in, cari blok fungsi dosnmp.

Jika konfigurasi menggunakan eksekusi dengan backticks, ganti mekanisme tersebut menggunakan fungsi system() dengan parameter yang dikirim sebagai argumen terpisah.

Gunakan struktur berikut:

sub dosnmp { my %args = (@_); print "SNMP notification: $args{MESSAGE}\n"; system("/opt/zimbra/common/bin/snmptrap", "-v", "2c", "-c", "zimbra", $traphost, "", $snmpsvctrap, $snmpsvcname, "s", $args{SERVICE}, $snmpsvcstatus, "i", $statuses{$args{STATUS}}); }

Setelah perubahan selesai, jalankan kembali Swatchdog:

sudo su - zimbra -c 'zmswatchctl start'

Mitigasi ini bersifat sementara. Upgrade ke Zimbra 10.1.20 tetap menjadi langkah yang direkomendasikan.

Setelah Patch, Cek Apakah Ada Indikasi Serangan

Karena CVE-2026-73570 Zimbra sudah aktif dieksploitasi, melakukan patch saja belum cukup.

Administrator juga perlu mengecek apakah sebelumnya terdapat aktivitas mencurigakan.

Periksa log Zimbra:

grep -Ei "Service status change:" /var/log/zimbra.log

Perhatikan perubahan service yang terjadi di luar jadwal maintenance atau aktivitas administrator.

Selain log, periksa juga file yang dibuat oleh user zimbra pada direktori berikut:

/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/

Contoh:

find /opt/zimbra/jetty/webapps/ \
     /opt/zimbra/jetty_base/webapps/ \
     /tmp/ \
     -user zimbra \
     -mtime -30 \
     -ls

Jika menemukan file atau aktivitas yang tidak dikenal, jangan langsung menghapusnya. Simpan informasi tersebut untuk dianalisis lebih lanjut.

Kesimpulan

CVE-2026-73570 Zimbra perlu menjadi perhatian karena vulnerability ini telah dilaporkan aktif dieksploitasi.

Jika server masih menggunakan versi sebelum Zimbra 10.1.20, lakukan upgrade sesegera mungkin.

Jika upgrade belum memungkinkan, administrator dapat mengurangi risiko dengan menonaktifkan SNMP apabila tidak digunakan atau melakukan mitigasi pada konfigurasi Swatchdog melalui swatchrc.in.

Setelah remediation, lakukan pengecekan log dan filesystem untuk memastikan tidak ada indikasi bahwa server telah dieksploitasi sebelum patch diterapkan.

Butuh Bantuan Mengamankan Zimbra?

REKHA membantu perusahaan dalam Zimbra Security Audit, hardening, upgrade, dan managed services.

Jika Anda belum yakin apakah server Zimbra terdampak CVE-2026-73570 atau ingin memastikan environment tetap aman setelah melakukan patch, tim REKHA dapat membantu melakukan assessment dan memberikan rekomendasi remediation.

Pelajari Zimbra Security Audit REKHA

Pelajari Zimbra Managed Services REKHA

Referensi

• Zimbra Security Advisories
• Zimbra 10.1.20 Release Notes
• NVD — CVE-2026-73570
• CERT Polska — Zimbra Collaboration Suite Security Advisory
• BleepingComputer — Critical Zimbra RCE Flaw Now Actively Exploited