Zimbra 메일 서버 취약점, 수정 배포 뒤 공개 전 악용…메일·인증 정보 수집·외부 전송 관측

서버 장악에서 메일 유출까지

취약점이 악용된 서버에는 원격 조작용 웹셸과 리버스 셸이 설치됐다. 뒤이어 권한 상승, 지속적인 원격 접근 도구 설치, 메모리 기반 실행이 관측됐다. 웹셸은 Jetty와 mailboxd 애플리케이션 경로에 더해 다른 메일박스 노드에도 심겼다. 처음 확보한 실행 권한은 Zimbra 사용자 수준이었지만, 공격자는 Zimbra의 정식 도구를 거쳐 root 권한까지 올라섰다.

지속적인 접근 수단으로는 zimlog.service라는 이름의 systemd 서비스가 설치됐다. 공격자는 Zimbra의 중앙 서비스 계정과 인증 비밀값을 빼낸 뒤, 인증된 LDAP 질의로 추가 비밀 정보를 조회했다. 서버에 남아 있던 SSH 인증 정보는 클러스터 내 다른 노드 접근에 쓰였다. 대화형 셸과 양방향 파일 작업, SOCKS5 프록시 기능을 갖춘 원격 접근 에이전트도 함께 설치됐다.

메일 계정에 접근해 인증 정보와 메일박스 데이터를 모으고, 이를 압축 파일로 만들어 외부로 내보내는 활동도 관측됐다. 관측된 공격에는 자동화된 악성 페이로드 전달과 공격자의 직접 조작이 모두 섞여 있었다. 마이크로소프트는 조사한 피해 조직이 단일 지역이나 업종에 국한되지 않았다고 밝혔다.

악용 조건은 선택 설치 패키지

ZCS 10.1.20 이전 버전은 알림 처리 과정에서 신뢰할 수 없는 입력값을 제대로 정제하지 않았다. 그 결과 인증되지 않은 원격 공격자가 Zimbra 사용자 권한으로 운영체제 명령을 실행할 수 있었다. 공개된 심각도 점수는 8.9다.

악용에는 전제 조건이 따른다. 선택 항목인 zimbra-snmp 패키지가 설치되고 알림 기능이 켜진 환경에서만 성립한다. 공격자는 조작된 요청을 알림 처리 경로로 보내 취약점을 작동시켰다.

수정 배포 뒤 공개 전 탐색 활동 관측

수정 사항은 2026년 7월 20일 ZCS 10.1.20 버전으로 배포됐다. 취약점 공개는 수정 사항 배포 후 3주 이상 지난 2026년 8월 13일 이뤄졌다. 마이크로소프트는 2026년 7월 28일부터 8월 7일까지 서로 다른 두 종류의 스캐닝 도구가 취약한 지점을 탐색하는 활동을 관측했다고 밝혔다. 초기 탐색은 외부 서비스로 통신을 유도해 명령 실행 여부만 확인했고, 악성 페이로드는 전달되지 않았다.

섀도서버 재단은 스캔을 통해 침해된 ZCS 인스턴스 274개를 확인했다고 밝혔다. 폴란드 CERT Polska는 2026년 8월 17일 이 취약점을 실제 악용된 취약점으로 표시하고 침해 흔적 자료를 공개했다. 제시된 권고는 ZCS 10.1.20 이상 업데이트, 선택 패키지 제거 또는 취약 설정 해제, SNMP·SMTP 접근 제한, 침해 여부 점검이다.