مهاجمون يستغلون ثغرة حرجة في Zimbra لسرقة رسائل البريد الإلكتروني

أصدرت شركة مايكروسوفت تحذيراً عاجلاً بشأن ثغرة أمنية حرجة في مجموعة Zimbra للتعاون، والتي يتم استغلالها حالياً من قبل جهات خبيثة لاستخراج نسخ احتياطية من رسائل البريد الإلكتروني وبيانات اعتماد المصادقة. تسمح هذه الثغرة، التي يتم تتبعها رسمياً تحت الرمز CVE-2026-73570، للمهاجمين عن بُعد وبدون الحاجة إلى مصادقة بتنفيذ أوامر نظام التشغيل على الخوادم الضعيفة. يشكل هذا الاختراق الأمني تهديداً كبيراً للمؤسسات التي تعتمد على Zimbra لاتصالاتها الداخلية، حيث يستهدف المهاجمون بنشاط مسار إشعارات SNMP للوصول غير المصرح به إلى البيانات الخاصة.

وفقاً للبيانات المقدمة من مؤسسة Shadowserver، تم تأكيد اختراق ما لا يقل عن 274 حالة منفصلة من مجموعة Zimbra للتعاون. وعلى الرغم من أن الشركة المطورة، Synacor، أصدرت تصحيحاً في 20 يوليو، إلا أن الثغرة ظلت غير معلنة لأكثر من ثلاثة أسابيع، مما ترك العديد من الأنظمة عرضة للخطر. وأفادت مايكروسوفت أنها رصدت بين 28 يوليو و7 أغسطس أداتين متطورتين للمسح الضوئي تبحثان في الإنترنت عن نقاط ضعف. وذكرت مايكروسوفت: 'بعد الاستغلال الناجح، تضمنت الأنشطة الملحوظة نشر أغلفة ويب JSP وأغلفة عكسية، وتصعيد الامتيازات، وأدوات الوصول عن بُعد المستمرة، والتنفيذ المعتمد على الذاكرة'.

تعد مجموعة Zimbra للتعاون منصة بريد إلكتروني وتعاون على مستوى المؤسسات، وغالباً ما تفضلها المنظمات لجذورها مفتوحة المصدر ومجموعة ميزاتها الواسعة. تستهدف الثغرة تحديداً حزمة zimbra-snmp، والتي يجب تثبيتها وتمكينها لكي يعمل الاستغلال. تاريخياً، واجهت Zimbra تدقيقاً بشأن وضعها الأمني، ويسلط هذا الحادث الضوء على التحديات المستمرة للحفاظ على برامج الخادم المعقدة في بيئة يمكن فيها لأدوات المسح الآلي تحديد واستغلال الأنظمة غير المصححة في غضون ساعات من معرفة الثغرة.

إن تداعيات هذا الاستغلال واسعة النطاق، حيث تؤثر على المنظمات عبر مناطق متعددة وقطاعات صناعية متنوعة. من خلال اكتساب قدرات حقن الأوامر، نجح المهاجمون في الوصول إلى أرشيفات البريد الإلكتروني وجمع بيانات المصادقة المهمة، مما سهل الحركة الجانبية داخل الشبكات المخترقة. يشير استخدام كل من تسليم الحمولة الآلي والعمليات اليدوية إلى مستوى عالٍ من التطور بين الجهات الفاعلة في التهديد. المنظمات التي لم تقم بعد بتطبيق تصحيح 20 يوليو معرضة لخطر فوري يتمثل في سرقة البيانات والاستيلاء على النظام والاستمرارية طويلة المدى من قبل هذه الكيانات الخبيثة.

بالنظر إلى المستقبل، يؤكد خبراء الأمن السيبراني على ضرورة إدارة التصحيحات السريعة وتنفيذ مراقبة قوية لاكتشاف أنماط حركة المرور غير الطبيعية. إن حقيقة أن المهاجمين تمكنوا من التحقق من استغلالاتهم باستخدام فحوصات DNS وICMP قبل نشر الحمولات الخبيثة تؤكد الحاجة إلى البحث الاستباقي عن التهديدات. مع تقلب عدد الحالات الضعيفة، يجب على المسؤولين إعطاء الأولوية لإيقاف تشغيل الخدمات غير الضرورية مثل SNMP إذا لم تكن مطلوبة بشدة. سيعتمد الأمن المستقبلي على قدرة البائعين على الموازنة بين جداول الإفصاح والحاجة الملحة لحماية المستخدم في مشهد رقمي يزداد عدائية.