Fortinet en Microsoft waarschuwen voor twee kritieke kwetsbaarheden in mailservers die actief worden misbruikt. Het gaat om FortiMail en Zimbra Collaboration Suite, voor beide zijn updates beschikbaar.
Twee recente beveiligingsadviezen gaan over hetzelfde soort systeem: de server die de e-mail van een organisatie ontvangt, filtert en bezorgt. Fortinet meldt een lek in FortiMail, zijn gateway voor e-mailbeveiliging. Microsoft waarschuwt voor actief misbruik van een eerder ontdekt lek in Zimbra Collaboration Suite.
Bij beide lekken heeft een aanvaller geen account of wachtwoord nodig. Mailservers zijn per definitie vanaf het internet bereikbaar, omdat ze berichten van buitenaf moeten aannemen. Een aanvaller die zo’n server overneemt, zit op de plek waar alle mail van een organisatie passeert.
Eén e-mail volstaat
Het Zimbra-lek, CVE-2026-73570, zit in de optionele module zimbra-snmp, die statusmeldingen van de server doorstuurt. Een aanvaller stuurt een speciaal opgestelde e-mail naar de server. Zimbra neemt gegevens uit dat bericht onvoldoende gecontroleerd over in zo’n melding, waardoor verborgen opdrachten op de server worden uitgevoerd. Niemand hoeft de mail te openen.
Alleen servers waarop zimbra-snmp geïnstalleerd is en de SNMP-meldingen aanstaan, zijn kwetsbaar. Volgens Shadowserver waren er op 30 september een ruime tienduizend kwetsbare instances, waarvan meer dan 3.000 in Europa.
Microsoft zag de eerste verkenningen door aanvallers nog voor het lek publiek werd. Daarna volgden inbraken bij organisaties in meerdere regio’s en sectoren. De aanvallers plaatsten webshells om later terug te keren, stalen sleutels waarmee Zimbra gebruikers aanmeldt en kopieerden de inhoud van mailboxen.
FortiMail
Bij FortiMail, CVE-2026-104286, verloopt de aanval via de webinterface. Met gemanipuleerde webverzoeken kan een aanvaller bestanden op willekeurige plaatsen in het onderliggende systeem schrijven. Fortinet geeft het lek een CVSS-score van 9,8 op 10 en kreeg meldingen dat het al wordt misbruikt.
Het lek hangt samen met een functie waarmee FortiMail versleutelde berichten aflevert. Fortinet publiceerde ook sporen van een inbraak, waaronder twee IP-adressen en een lijst van bestanden die aanvallers toevoegen of wijzigen.
Updates beschikbaar
Zimbra dichtte het lek op 20 juli in versie 10.1.20. Beheerders die niet meteen kunnen updaten, verwijderen zimbra-snmp of schakelen de SNMP-meldingen uit.
Voor FortiMail dichten de versies 8.0.2, 7.6.7 en 7.4.9 het lek. FortiMail 7.2 krijgt geen patch, daar is een overstap naar 7.4 nodig. Als tijdelijke oplossing kunnen beheerders IBE uitschakelen en de beheerinterface alleen bereikbaar maken vanuit vertrouwde interne netwerken.
Omdat beide lekken al worden misbruikt, volstaat een update niet altijd. Microsoft adviseert beheerders van Zimbra om na te gaan of er webshells op de server staan en de geheime sleutels van Zimbra te vervangen. Fortinet deelt indicaties waarmee je sporen van misbruik in FortiMail kunt nagaan.