Zimbra の深刻な脆弱性 CVE-N/A が FIX：SNMP を介したコマンド・インジェクションの恐れ

Critical Zimbra Flaw Lets Attackers Inject Commands Through the SNMP Monitoring Service

2026/07/22 CyberSecurityNews — Zimbra が公表したのは、Zimbra Collaboration Suite (ZCS) に存在する、深刻なコマンド・インジェクションの脆弱性 CVE-N/A と、バージョン 10.1.20 での修正に関する情報である。この欠陥を突く攻撃者は、SNMP サービスを悪用し、影響を受けるサーバ上で任意のコマンド実行を引き起こす可能性がある。この欠陥は、SNMP 通知が有効化されている環境に影響を及ぼすものだ。リモート攻撃者が監視データを操作し、システムレベルのコマンドを注入することで、サーバの完全な侵害につながり得る。

この問題は、Simple Network Management Protocol (SNMP) 監視コンポーネント内の不適切な入力検証に起因する。SNMP trap または通知が処理される際に、サニタイズされていない入力が、基盤となるシステム・コールに渡される可能性がある。

SNMP データ・ストリームに対して影響を与えられる攻撃者であれば、想定される入力境界をエスケープする悪意のペイロードを細工し、ホスト・システム上でコマンドを実行できる。

Zimbra SNMP 脆弱性

この種の脆弱性は、インフラ監視とアラート通知において、一般的に SNMP が使用されるエンタープライズ環境において、特に危険である。

2026年6月26日に公開したセキュリティ・アドバイザリで、この脆弱性を公表した Zimbra は、その後にリリースしたバージョン 10.1.20 において恒久的な修正を実装している。

同社は、この問題を高深刻度と評価しているが、パッチのデプロイに伴うリスクは低いと見なされている。したがって、管理者に強く推奨されるのは、速やかにアップグレードすることだ。

SNMP ベースの攻撃対象領域は見落とされることが多く、その傾向はメール／コラボレーション・プラットフォームにおいて顕著であると、セキュリティ研究者たちは指摘している。なお、この脆弱性が他の欠陥やミスコンフィグと組み合わされると、悪意のアクセスが拡大しやすくなる。

たとえば、ネットワーク内に足掛かりを得た攻撃者は、脆弱なコンフィグを持つ Zimbra サーバを標的にし、SNMP を利用して権限昇格またはラテラル・ムーブメントを仕掛ける可能性がある。

今回の SNMP の脆弱性の修正に加えて、Zimbra バージョン 10.1.20 では、他の複数のセキュリティ問題も対処されている。

それらに含まれるのは、Classic Web Client における複数の Stored Cross-Site Scripting (XSS) 脆弱性である。ユーザーのブラウザでレンダリングが実行される際に、細工された添付ファイル名や操作されたフィールドにより、悪意のスクリプトが実行される可能性がある。このような問題は、フィッシング・キャンペーンや内部攻撃に悪用され、ユーザー・セッションのハイジャックや機密データの窃取につながり得る。

さらに今回のアップデートでは、Nextcloud 統合における Server-Side Request Forgery (SSRF) の脆弱性も修正されている。この脆弱性を悪用する攻撃者は、サーバから不正なリクエストを送信する可能性を得る。

その他の修正では、メールボックス委任における認可の欠陥や、EWS (Exchange Web Services) 拡張におけるアクセス制御問題に加えて、管理制御が導入されている場合であってもデータ外部持ち出しを可能にし得るメール転送制限バイパスに対処している。

Zimbra は、アクティブな悪用リスクを低減するため、これらの脆弱性に関する技術的詳細の開示を制限している。

このリリースに含まれる修正の範囲が浮き彫りにするのは、機密性の高い通信を扱うコラボレーション・プラットフォームにおける、タイムリーなパッチ管理の重要性である。

Zimbra を使用している組織に推奨されるのは、直ちにバージョン 10.1.20 へとアップグレードすることだ。その上で、SNMP コンフィグを確認し、SNMP トラフィックまたはコマンド実行パターンに関連する異常なアクティビティの有無を、ログで監視すべきである。

エンタープライズ・メッセージング・システムを標的にする進化する脅威から防御するには、プロアクティブなハードニングと継続的な監視が不可欠である。

訳者後書：メールや情報共有の基盤である Zimbra Collaboration Suite において、システム監視用プロトコルのデータ処理に不備が存在することが明らかになりました。この問題の背景には、外部からの入力を適切に検証できない状態があります。それにより、悪意のデータを受け取ったときに不正な処理が実行され、サーバが乗っ取られる恐れがあります。なお本件の識別番号は CVE-N/A とされています。被害を防ぐためにも、修正版であるバージョン 10.1.20 への速やかな更新を実施し、あわせて設定内容や通信記録の確認を行うことが推奨されます。