Zimbra sotto attacco con una RCE critica mentre Windows 11 manda in crash alcuni giochi

🛡️ Executive Summary

• CVE-2026-73570 permette command injection senza autenticazione su Zimbra quando SNMP trap è attivo e può eseguire comandi come utente zimbra.
• CERT Polska conferma lo sfruttamento attivo e chiede di cercare eventi sospetti nei log e file creati nelle directory Jetty e /tmp.
• Microsoft indaga su KB5121003 dopo freeze, chiusure, EXCEPTION_ACCESS_VIOLATION e riavvii segnalati con alcuni giochi su Windows 11 24H2 e 25H2.

Zimbra Collaboration Suite e Windows 11 affrontano contemporaneamente due problemi di natura molto diversa ma già rilevanti sul piano operativo. Nel primo caso CVE-2026-73570 è passata dalla disponibilità della patch allo sfruttamento attivo, permettendo a un aggressore remoto non autenticato di eseguire comandi attraverso il componente SNMP di Zimbra in determinate configurazioni. Nel secondo, Microsoft ha aperto formalmente un’indagine dopo le segnalazioni relative agli aggiornamenti Windows dell’11 agosto, con alcuni videogiochi che possono bloccarsi, chiudersi improvvisamente, generare EXCEPTION_ACCESS_VIOLATION o provocare il riavvio del computer. Per Zimbra serve quindi una verifica immediata della compromissione; per Windows, invece, Microsoft non ha ancora stabilito se il problema dipenda effettivamente dall’aggiornamento.

CVE-2026-73570 consente comandi remoti senza autenticazione

La vulnerabilità di Zimbra Collaboration Suite è una OS Command Injection nel componente utilizzato per il monitoraggio SNMP. Nella release ufficiale Zimbra 10.1.20 il produttore spiega di avere corretto definitivamente il problema il 20 luglio 2026, dopo una precedente advisory pubblicata a giugno. L’attacco diventa possibile quando sono abilitate le notifiche SNMP e interessa il trattamento di input non adeguatamente sanitizzati: attraverso richieste SMTP opportunamente costruite, un aggressore non autenticato può ottenere l’esecuzione di comandi arbitrari del sistema operativo con i privilegi dell’utente zimbra. CERT Polska precisa ulteriormente le condizioni operative, indicando che risultano esposte le istanze con SNMP trap abilitate tramite il parametro snmp_notify e servizio swatchdog in esecuzione, quest’ultimo attivo per impostazione predefinita. La falla è quindi particolarmente pericolosa perché non richiede il furto preliminare di credenziali e sposta direttamente il punto di ingresso sul server. Zimbra aveva già mostrato una superficie di attacco molto appetibile durante le campagne zero-click capaci di trasformare una email in un vettore di furto delle caselle, ma CVE-2026-73570 agisce a un livello ancora più vicino all’infrastruttura.

CERT Polska conferma che gli attacchi sono già in corso

Il salto di priorità arriva dalla comunicazione pubblicata da CERT Polska il 17 agosto, che descrive esplicitamente CVE-2026-73570 come una vulnerabilità attivamente sfruttata. L’indicazione cambia completamente il lavoro degli amministratori: aggiornare a Zimbra 10.1.20 resta necessario, ma non è sufficiente per considerare chiuso l’incidente. CERT Polska chiede di esaminare /var/log/zimbra.log alla ricerca di cambiamenti sospetti nello stato dei servizi e in particolare messaggi nei quali payload anomali compaiono nelle stringhe Service status change. L’organizzazione raccomanda inoltre di verificare i file creati negli ultimi 30 giorni dall’utente zimbra all’interno di /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/. È una distinzione fondamentale già emersa nelle precedenti compromissioni di Zimbra, dove installare una patch non rimuoveva automaticamente accessi persistenti creati prima dell’aggiornamento: quando l’attaccante dispone di esecuzione di comandi, la bonifica deve cercare ciò che è stato lasciato sul sistema e non soltanto chiudere il vettore iniziale.

Oltre 12.000 server Zimbra risultano esposti su Internet

Shadowserver osserva oltre 12.100 server Zimbra raggiungibili da Internet, con le concentrazioni più elevate in Europa e Asia. Il numero non corrisponde agli host vulnerabili a CVE-2026-73570, perché dalla semplice esposizione non è possibile sapere quanti siano già aggiornati alla 10.1.20, quanti utilizzino la configurazione SNMP necessaria e quanti possano essere honeypot. Serve però a misurare la dimensione della superficie potenzialmente analizzabile dagli aggressori. I server di posta rappresentano bersagli particolarmente remunerativi perché concentrano email, documenti, conversazioni interne, indirizzi, identità e percorsi di autenticazione utilizzabili nelle fasi successive dell’attacco. Le piattaforme Zimbra sono state ripetutamente prese di mira anche da gruppi APT, compresi attori interessati a governi e organizzazioni legate all’Ucraina. Il problema non è quindi soltanto il rischio di compromissione tecnica del server, ma il valore informativo di ciò che un’infrastruttura di collaborazione può consegnare dopo il primo accesso.

Windows 11 può bloccare giochi dopo KB5121003

Sul fronte Microsoft, il problema riguarda gli aggiornamenti rilasciati dall’11 agosto 2026, a partire da KB5121003 per Windows 11. La dashboard ufficiale Windows Release Health è stata aggiornata il 19 agosto con una nuova issue classificata come Investigating. Microsoft conferma di avere ricevuto segnalazioni riguardanti un numero limitato di giochi che non funzionano più correttamente dopo l’installazione dell’aggiornamento. Tra i titoli esplicitamente citati figurano ARC Raiders, MARVEL Tōkon: Fighting Souls e The Finals. I sintomi includono applicazioni che diventano non responsive, giochi che si chiudono senza preavviso, errori EXCEPTION_ACCESS_VIOLATION e, nei casi più gravi, riavvii improvvisi del dispositivo. Sono coinvolti Windows 11 24H2 e Windows 11 25H2, mentre Windows Server non risulta interessato.

Microsoft non ha ancora attribuito definitivamente il bug all’update

La formulazione utilizzata dall’azienda è particolarmente importante. Microsoft non afferma ancora che KB5121003 sia la causa certa dei crash, ma precisa di stare indagando proprio per determinarlo. Questo significa che driver grafici, componenti dei giochi, sistemi anti-cheat o altre interazioni software potrebbero ancora contribuire al comportamento osservato. Gli utenti interessati vengono invitati a inviare segnalazioni attraverso Feedback Hub, così da fornire configurazione hardware, log e condizioni necessarie alla riproduzione. La prudenza è necessaria anche perché KB5121003 appartiene al Patch Tuesday di agosto, quindi rimuoverlo indiscriminatamente per tentare di risolvere un problema di gaming significa contemporaneamente eliminare numerose correzioni di sicurezza. La situazione ricorda il precedente problema Windows 11 sui laptop Dell risolto con l’aggiornamento out-of-band KB5121767, dove la causa era poi stata identificata nell’interazione tra Windows e un driver Intel IPF. Anche allora il sintomo appariva inizialmente come una regressione generica del sistema prima di essere ricondotto a una combinazione molto specifica di software e hardware.

Il Patch Tuesday rende rischioso tornare indietro

Il punto delicato per gli utenti è che KB5121003 non è un aggiornamento facoltativo isolato, ma contiene le patch di sicurezza del mese. Microsoft ha corretto ad agosto centinaia di vulnerabilità, comprese falle zero-day, continuando un 2026 già caratterizzato da cicli Patch Tuesday particolarmente pesanti. Soltanto a luglio l’azienda aveva pubblicato 570 correzioni nel Patch Tuesday, con un conteggio esteso fino a 622 vulnerabilità, mentre a febbraio sei zero-day risultavano già sfruttati prima dell’installazione delle patch. La conseguenza pratica è che disinstallare l’update può rappresentare un compromesso peggiore del problema originale, soprattutto su sistemi utilizzati anche per lavoro, navigazione e gestione di informazioni sensibili. Fino a quando Microsoft non pubblicherà un workaround o una correzione ufficiale, gli utenti colpiti dovrebbero verificare aggiornamenti di gioco e driver GPU, raccogliere i dettagli dell’errore e limitare eventuali modifiche invasive al sistema.

Zimbra richiede incident response, Windows richiede diagnosi

Le due situazioni non devono quindi essere trattate allo stesso modo. Su Zimbra esistono una vulnerabilità confermata, una patch disponibile e una campagna di sfruttamento attiva: chi utilizza una versione vulnerabile nelle condizioni indicate da CERT Polska deve aggiornare immediatamente e contemporaneamente cercare tracce di compromissione. Su Windows 11, invece, Microsoft ha confermato l’esistenza delle segnalazioni ma non ancora una relazione causale definitiva tra KB5121003 e i problemi di gaming. La priorità diventa quindi conservare le patch di sicurezza dove possibile e contribuire alla diagnosi. In entrambi i casi emerge però lo stesso limite del patch management moderno: l’installazione di un aggiornamento non coincide automaticamente con la fine del rischio. Su Zimbra bisogna chiedersi cosa sia accaduto prima della patch; su Windows bisogna verificare cosa sia cambiato dopo.