Zimbra Açığı (CVE-2026-73570) Aktif Olarak İstismar Ediliyor: E-posta Sunucunuzu Nasıl Korursunuz?

Kurumsal e-posta sunucusu olarak yaygın biçimde kullanılan Zimbra'da bulunan bir güvenlik açığı, saldırganlar tarafından aktif olarak kullanılıyor. CVE-2026-73570 koduyla izlenen açık, saldırganın sunucuda oturum açmadan işletim sistemi komutu çalıştırmasına izin veriyor. Microsoft'un güvenlik araştırma ekibinin paylaştığı bulgulara göre saldırganlar bu yolla sunuculara web shell yerleştiriyor ve kimlik doğrulama bilgilerini topluyor.

Bu yazıda açığın ne olduğunu, kimleri etkilediğini ve Zimbra kullanan bir kurumun bugün ne yapması gerektiğini özetledik.

Açık tam olarak ne?

CVE-2026-73570, Zimbra'nın SNMP bildirim bileşenindeki bir komut enjeksiyonu açığıdır. CVSS puanı 8,9'dur. Saldırgan, sunucuya özel hazırlanmış bir SMTP isteği göndererek komut çalıştırabilir; bunun için kullanıcı adı ya da şifre bilmesi gerekmez.

Önemli bir ayrıntı var: açık yalnızca isteğe bağlı zimbra-snmp paketi kurulu olan sunucuları etkiler. Bu paket kurulu değilse sunucunuz bu açıktan etkilenmez.

Olayların sırası

• 20 Temmuz 2026: Zimbra, açığı kapatan 10.1.20 sürümünü yayımladı.
• 28 Temmuz – 7 Ağustos 2026: İnternete açık Zimbra sunucularına yönelik tarama etkinliği görüldü.
• 13 Ağustos 2026: Açık kamuya duyuruldu.
• Ağustos 2026: Polonya'nın ulusal siber olay müdahale ekibi CERT Polska, açığın istismar edildiğine dikkat çekti. ABD siber güvenlik ajansı CISA da açığı "bilinen istismar edilen açıklar" listesine ekledi ve federal kurumlara 24 Ağustos'a kadar yama zorunluluğu getirdi.

Yani yama, saldırılar başlamadan önce hazırdı. Etkilenen sunucular, güncellemeyi zamanında yapmayanlar oldu.

Saldırı nasıl ilerliyor?

Microsoft'un aktardığına göre saldırı zinciri şu adımlardan oluşuyor:

1. Saldırgan, internete açık sunucuya zararlı bir SMTP iletisi gönderir.
2. Komutlar, Zimbra'nın kendi hizmet hesabı ("zimbra" kullanıcısı) yetkisiyle çalışır.
3. Sunucuya JSP web shell dosyaları yerleştirilir. Biri silinse bile erişim sürsün diye aynı dosya birden fazla uygulama klasörüne kopyalanır.
4. wget ya da curl ile ek araçlar indirilir ve saldırgana geri bağlantı (reverse shell) açılır.
5. Kalıcılık için zamanlanmış görevler (cron) ve systemd servisleri eklenir; bazı araçlar diske yazılmadan bellekte çalıştırılır.

Araştırmacılar bu saldırılarda Go diliyle yazılmış iki araç tespit etti: ek dosyaları indiren Zimdown2 ve WebSocket, TLS ya da ham TCP üzerinden haberleşebilen uzaktan erişim aracı Zimclient2. Ayrıca sunucudaki kimlik doğrulama bilgilerini toplamaya yönelik bir araç da kullanılıyor.

Saldırıların arkasında kimin olduğu şu an bilinmiyor. Etkilenen kurumların birden fazla bölge ve sektörden olduğu belirtiliyor.

Neden e-posta sunucusu bu kadar kritik?

E-posta sunucusu ele geçirildiğinde kayıp yalnızca o sunucuyla sınırlı kalmaz. Şifre sıfırlama iletileri, sözleşmeler, faturalar ve iç yazışmalar aynı yerde durur. Saldırgan kimlik bilgilerini aldıktan sonra kurumun diğer sistemlerine geçebilir ya da çalışanlarınızın adına ileti göndererek müşterilerinizi hedef alabilir.

Ne yapmalısınız?

1. Sürümünüzü kontrol edin ve güncelleyin

Zimbra'yı 10.1.20 ya da daha yeni bir sürüme yükseltin. Bu, sorunun asıl çözümüdür.

2. Hemen güncelleyemiyorsanız geçici önlem alın

• zimbra-snmp paketini kullanmıyorsanız kaldırın.
• SNMP bildirimlerini kapatın.
• SNMP ve SMTP erişimini yalnızca güvendiğiniz adreslerle sınırlayın.

3. Sunucunun daha önce ele geçirilip geçirilmediğine bakın

Yama, zaten içeri girmiş bir saldırganı dışarı çıkarmaz. Güncellemeden önce sunucunuz açıktaysa şunları kontrol edin:

• Uygulama klasörlerinde tanımadığınız JSP dosyaları (aynı dosyanın birden fazla klasörde kopyası olabilir).
• "zimbra" kullanıcısına ait, sizin eklemediğiniz cron görevleri ve systemd servisleri.
• Sunucudan dışarıya doğru açılmış beklenmedik bağlantılar.

4. Kimlik bilgilerini yenileyin

Saldırganlar kimlik doğrulama bilgilerini topladığı için, etkilenmiş olabilecek bir sunucuda yönetici şifrelerini, servis hesaplarını ve uygulama anahtarlarını değiştirin. Sunucunun ele geçirildiğinden şüpheleniyorsanız SSL sertifikanızın özel anahtarı da açığa çıkmış sayılmalıdır: yeni bir anahtar ve CSR üretip sertifikanızı yeniden düzenletin (reissue), eskisini iptal ettirin.

E-posta güvenliğinde sertifikaların yeri

Bir yazılım açığını sertifika kapatmaz; bu tür olaylarda çözüm güncellemedir. Sertifikalar başka bir işi görür: iletişimi şifreler ve karşı tarafın kimliğini doğrular.

• Posta sunucunuzdaki SSL sertifikası, web arayüzü ile SMTP, IMAP ve POP3 bağlantılarını şifreler; şifreler ağ üzerinde açık metin olarak dolaşmaz.
• S/MIME sertifikası, iletinin gerçekten sizden geldiğini ve yolda değiştirilmediğini alıcıya gösterir. Hesabı ele geçirilmiş birinin adına atılan sahte iletileri ayırt etmeyi kolaylaştırır.

Özet

Zimbra kullanıyorsanız ve zimbra-snmp paketi kuruluysa, sunucunuzu 10.1.20 ya da üzeri bir sürüme yükseltin. Güncellemeyi geç yaptıysanız yalnızca yamayla yetinmeyin: web shell ve kalıcılık izlerini arayın, şifreleri ve anahtarları yenileyin.

Kaynak: The Hacker News, 30 Eylül 2026; Microsoft güvenlik araştırma ekibi ve CERT Polska bulguları.