Keamanan Zimbra 2026: Celah CVE-2026-73570 dan Langkah Aman untuk Email Bisnis

Keamanan Zimbra kembali jadi bahan pembicaraan di kalangan admin IT sejak pertengahan 2026. Penyebabnya adalah celah bernomor CVE-2026-73570 di Zimbra Collaboration Suite (ZCS) yang sudah dimanfaatkan penyerang untuk menguasai server email. Jika kantor Anda menjalankan Zimbra sendiri, topik ini layak dicek hari ini juga.

Kabar baiknya, perbaikan sudah tersedia dan celahnya hanya aktif pada konfigurasi tertentu. Kabar kurang baiknya, memasang patch saja belum cukup bila server sempat disusupi sebelum diperbarui. Artikel ini merangkum fakta yang sudah dilaporkan peneliti keamanan, lalu menerjemahkannya menjadi langkah praktis untuk pemilik bisnis dan tim IT.

Apa yang Terjadi pada Zimbra: Ringkasan Kronologi

CVE-2026-73570 adalah celah command injection tanpa autentikasi pada komponen notifikasi SNMP di ZCS. Penyerang cukup mengirim permintaan SMTP yang sudah dirancang khusus, lalu server bisa menjalankan perintah sistem operasi dengan hak akses akun Zimbra. Skor CVSS-nya 8,9, masuk kategori tinggi.

• 26 Juni 2026: celah diungkap kepada vendor, menurut catatan riset Cloud Security Alliance dan eSecurityPlanet.
• 20 Juli 2026: Zimbra merilis ZCS 10.1.20 yang menutup celah tersebut.
• Akhir Juli sampai awal Agustus 2026: Microsoft mencatat aktivitas pengintaian dan eksploitasi awal, sebelum detail celah dipublikasikan pada 13 Agustus.
• Agustus 2026: CISA memasukkan celah ini ke katalog Known Exploited Vulnerabilities, dan CERT Polska merilis indikator kompromi.
• 22 Agustus 2026: Shadowserver Foundation menemukan 274 server Zimbra yang sudah terkompromi, naik dari 155 dua hari sebelumnya.

Shadowserver juga menemukan sedikitnya 8.200 sistem Zimbra yang belum di-patch. Mereka mencatat tidak semuanya pasti rentan, karena celah ini butuh konfigurasi yang bukan bawaan.

Apakah Server Zimbra Anda Terdampak?

Server dianggap rentan bila memenuhi tiga syarat sekaligus: versi ZCS di bawah 10.1.20, paket opsional zimbra-snmp terpasang, dan notifikasi SNMP aktif. Server yang tidak memakai SNMP memang tidak terpapar jalur serangan ini, tetapi tetap sebaiknya diperbarui.

Mengapa Server Email Jadi Sasaran Empuk

Server email menyimpan percakapan dengan pelanggan, faktur, kontrak, hingga tautan reset password ke sistem lain. Menurut analisis Microsoft, penyerang dalam kasus ini mengincar rahasia otentikasi pusat milik Zimbra, bukan sekadar password per pengguna. Artinya satu server yang bocor bisa membuka banyak pintu sekaligus.

Peneliti juga menemukan kasus penyerang menaikkan hak akses sampai level root dan menanam web shell. Karena itu, jika ada indikasi kompromi, para analis menyarankan memperlakukannya sebagai kemungkinan paparan seluruh data surat, bukan gangguan layanan biasa.

Checklist Admin: Langkah Mengamankan Zimbra

1. Cek versi dan konfigurasi

Pastikan versi ZCS yang berjalan, lalu periksa apakah paket zimbra-snmp terpasang dan notifikasi SNMP aktif. Jangan berasumsi, karena paket ini opsional dan bisa saja terpasang dari instalasi lama.

2. Update ke 10.1.20 atau lebih baru

Ini perbaikan utama yang direkomendasikan Microsoft dan peneliti lain. Untuk server multi-node, perbarui semua node, bukan hanya node yang menerima surat dari internet.

3. Mitigasi sementara bila update harus menunggu

Jika jadwal maintenance belum memungkinkan, Microsoft menyarankan mencopot paket zimbra-snmp, menonaktifkan notifikasi SNMP, dan membatasi akses SNMP serta SMTP hanya dari host tepercaya. Konsekuensinya, pemantauan berbasis SNMP bisa terhenti, jadi siapkan alternatif monitoring.

4. Cari tanda server pernah disusupi

CERT Polska menyarankan memeriksa berkas /var/log/zimbra.log untuk restart layanan Zimbra yang tidak wajar. Periksa juga berkas baru di direktori sementara dan direktori webapps Zimbra dalam 30 hari terakhir. Perlu diingat, update menutup celahnya tetapi tidak menghapus web shell atau kunci yang sudah dicuri.

5. Jika ada tanda kompromi

• Simpan salinan log sebelum melakukan pemulihan, agar bisa dianalisis.
• Ganti kredensial dan kunci autentikasi Zimbra, serta password akun penting.
• Periksa aturan penerusan (forwarding) email yang mungkin ditambahkan penyerang.
• Libatkan tim keamanan atau penyedia layanan IT bila Anda tidak yakin cakupan dampaknya.

6. Batasi paparan ke internet

Layanan manajemen dan monitoring sebaiknya hanya bisa diakses dari jaringan internal atau VPN. Prinsip ini berlaku untuk semua server email, bukan hanya Zimbra.

Pelajaran bagi UMKM dan Kantor: Kelola Sendiri atau Terkelola?

Menjalankan mail server sendiri memberi kendali penuh atas data dan biaya, tetapi juga membawa tanggung jawab patching yang konsisten. Dalam kasus ini, jarak antara rilis perbaikan dan eksploitasi massal hanya beberapa minggu. Server yang terlambat diperbarui menjadi target utama.

Ada dua pendekatan yang umum dipilih bisnis:

• Mail server di infrastruktur sendiri atau terkelola: cocok bila Anda butuh data tetap di server pilihan sendiri. Syaratnya ada orang atau mitra yang rutin memantau rilis keamanan dan melakukan update.
• Layanan email berbasis cloud: pembaruan keamanan dikelola penyedia. Tim Anda cukup fokus pada pengaturan akun, kebijakan password, dan autentikasi dua langkah.

Tidak ada pilihan yang otomatis paling benar. Yang penting, ada pemilik tanggung jawab yang jelas untuk pembaruan, backup, dan pemantauan.

Apa pun platformnya, kebiasaan dasar ini tetap berlaku: aktifkan autentikasi dua langkah, pakai password unik, pantau login mencurigakan, dan simpan backup di lokasi terpisah.

Bantuan dari NEX Network

NEX Network menyediakan layanan Zimbra Mail Server bagi bisnis yang ingin memakai email dengan domain sendiri. Bila Anda lebih nyaman dengan layanan berbasis cloud, tersedia juga Google Workspace. Untuk perusahaan yang tidak punya tim IT penuh waktu, layanan IT terkelola dapat membantu pemantauan, patching, dan pengecekan keamanan secara berkala.

Ragu apakah server email kantor Anda termasuk yang terdampak? Silakan hubungi tim NEX Network untuk berdiskusi. Kami bisa membantu menilai kondisi awal dan menyarankan langkah yang sesuai kebutuhan bisnis Anda.

Pertanyaan yang Sering Diajukan

Apa itu CVE-2026-73570 pada Zimbra?

CVE-2026-73570 adalah celah command injection tanpa autentikasi pada komponen notifikasi SNMP di Zimbra Collaboration Suite. Penyerang dapat mengirim permintaan SMTP khusus agar server menjalankan perintah sistem sebagai akun Zimbra. Celah ini ditutup pada ZCS versi 10.1.20.

Apakah semua server Zimbra rentan terhadap celah ini?

Tidak semua. Server rentan bila versinya di bawah 10.1.20, paket zimbra-snmp terpasang, dan notifikasi SNMP aktif. Meski begitu, semua server sebaiknya tetap diperbarui ke versi terbaru.

Apa yang harus dilakukan jika belum bisa update ke 10.1.20?

Sebagai mitigasi sementara, copot paket zimbra-snmp, nonaktifkan notifikasi SNMP, dan batasi akses SNMP serta SMTP hanya dari host tepercaya. Langkah ini hanya penahan sementara, update tetap perlu dijadwalkan secepatnya.

Apakah update ke 10.1.20 menghapus kompromi yang sudah terjadi?

Tidak. Update menutup celahnya, tetapi web shell, kunci yang dicuri, atau perubahan hak akses yang sudah ditanam penyerang tidak otomatis hilang. Periksa log dan berkas mencurigakan, lalu ganti kredensial bila ada indikasi kompromi.

Sumber

• Unauthenticated command injection on internet-facing mail servers: tracking CVE-2026-73570 (Microsoft Security Blog)
• Attackers Exploit Zimbra Flaw to Deploy Web Shells and Harvest Authentication Secrets (The Hacker News)
• Zimbra Vulnerability Exploited in the Wild Prior to Public Disclosure (SecurityWeek)
• 274 Zimbra Servers Compromised, 8,200 Unpatched (eSecurityPlanet)
• Zimbra SNMP Flaw Under Active Exploitation (CVE-2026-73570) (Cloud Security Alliance)
• Zimbra CVE-2026-73570: Patched in July? Check Whether Someone Got In First (DEV Community)
• Zimbra CVE-2026-73570 (techgines)
• CVE-2026-73570 – Vulnerability Details (OpenCVE)