Zimbra, server di posta compromessi in Italia: l'allerta del CSIRT

Il 5 ottobre 2026 il CSIRT Italia, la squadra di risposta agli incidenti dell'Agenzia per la Cybersicurezza Nazionale, ha pubblicato il bollettino BL01/261005/CSIRT-ITA: più server di posta Zimbra Collaboration Suite esposti su internet sono stati compromessi in Italia, in gran parte attraverso la vulnerabilità CVE-2026-73570. Si tratta di una falla corretta a luglio nella versione 10.1.20, che secondo The Hacker News si sfrutta senza credenziali, inviando al server una richiesta di posta costruita apposta.

Che cosa ha trovato il CSIRT Italia?

Il bollettino descrive una serie di incidenti con esiti diversi:

• ransomware in quattro casi, due dei quali partiti proprio da CVE-2026-73570;
• programmi per minare criptovalute installati sui server in diversi casi;
• furto di dati in un caso, con l'esfiltrazione del database degli utenti e degli hash delle password;
• posta ferma per 48 ore in un caso, con oltre 6.000 caselle coinvolte;
• reimpostazioni forzate delle password delle caselle e server compromessi usati per attaccare altri sistemi.

Gli attaccanti hanno eseguito comandi con l'utente dell'applicazione Zimbra, installato web shell e attività pianificate per restare sul server, quasi sempre senza bisogno dei privilegi di amministratore. Altri casi sono partiti da falle più vecchie, su server non aggiornati o fuori supporto. Il dato più utile è l'ultimo: nessuna intrusione riuscita sui server completamente aggiornati.

Perché proprio Zimbra?

Zimbra è una piattaforma di posta e calendario che si può installare sui propri server, ed è una scelta frequente per chi preferisce non affidarsi ai grandi servizi cloud. Proprio perché è "in casa", aggiornarla tocca a chi la gestisce.

La falla CVE-2026-73570 sta nel componente opzionale per il monitoraggio SNMP: è sfruttabile quando il pacchetto zimbra-snmp è installato e le notifiche SNMP sono attive. Il CSIRT nota che molti dei sistemi colpiti avevano quel pacchetto. Secondo The Hacker News, che riprende un'analisi di Microsoft, gli attacchi sono cominciati già nelle settimane fra il rilascio della correzione e la pubblicazione dei dettagli.

Cosa cambia per una PMI?

Se la posta aziendale gira su un server Zimbra, magari installato anni fa da un fornitore, questo bollettino è un invito a controllare subito. La posta contiene tutto: contratti, fatture, dati dei clienti, credenziali di altri servizi. E un server di posta compromesso è anche un trampolino per attaccare il resto della rete e i propri contatti.

Cosa fare adesso?

Le raccomandazioni del CSIRT Italia, in sintesi:

1. Aggiornare Zimbra a una versione supportata che corregga CVE-2026-73570 e le falle precedenti. Se non è possibile subito, disattivare o rimuovere il pacchetto zimbra-snmp.
2. Controllare le attività pianificate (crontab) e le chiavi SSH autorizzate dell'utente zimbra, togliendo quello che non si riconosce.
3. Cercare file sospetti nelle cartelle temporanee e nella cartella web pubblica di Jetty: web shell, miner, programmi di ransomware.
4. Se si trovano tracce, cambiare le password delle caselle e degli amministratori, revocare le sessioni attive e sostituire le chiavi SSH.
5. Limitare l'accesso alla porta di amministrazione (7071) alle sole postazioni di gestione e filtrare il traffico in uscita verso porte insolite.
6. Spegnere i vecchi server di posta dismessi ma ancora raggiungibili da internet.

Una volta messo in sicurezza il server, vale la pena verificare anche la configurazione del dominio, con SPF, DKIM e DMARC, e valutare se ha ancora senso gestire la posta in proprio: ne parlo nella guida sull'email aziendale con il proprio dominio.

Negli stessi giorni il CSIRT ha segnalato un'altra piattaforma installata "in casa" sotto attacco: Nextcloud con Collabora.

Ne parliamo?

Molti dei software che le aziende tengono sui propri server, dalla posta agli strumenti interni, sono stati installati una volta e poi dimenticati. Quando faccio una consulenza tecnica parto dall'inventario di cosa è esposto su internet e di chi lo aggiorna. Se un sistema è troppo vecchio per essere aggiornato, possiamo valutare la modernizzazione del software o la migrazione. Scrivimi dalla pagina contatti.

Fonti

• Zimbra ZCS: rilevato sfruttamento di vulnerabilità in versioni non aggiornate (ACN, CSIRT Italia)
• Attackers Exploit Zimbra Flaw to Deploy Web Shells and Harvest Authentication Secrets (The Hacker News)

Crediti delle immagini

• Copertina: foto di Arti Kh su Pexels