CISA 將 Zimbra 漏洞 CVE‑2026‑73570 列入 KEV 名單，聯邦機構限三天完成修補

美國網路安全與基礎設施安全局（CISA）於 8 月 21 日正式公告，將郵件伺服器系統 Zimbra 的安全缺口 CVE‑2026‑73570 加入已遭利用的漏洞名單（KEV），並要求所有聯邦機構必須在 8 月 24 日 前完成修補。此舉顯示美國政府已掌握該漏洞正被積極利用，並以最嚴格的時間表迫使機關立即防禦。

背景與威脅概況

上週，波蘭電腦緊急應變團隊 CERT Polska 警示稱，此漏洞已被攻擊者實際利用，且相關攻擊活動仍在持續。CVE‑2026‑73570 屬於 作業系統命令注入（攻擊者可在伺服器上執行未授權的系統指令）類型的弱點，若不及時修補，攻擊者可藉此實現 遠端程式碼執行（RCE，Remote Code Execution），直接在目標機器上執行惡意程式碼。該漏洞的 CVSS（通用漏洞評分系統）嚴重程度高達 8.9，屬於高危等級。

針對此問題，Zimbra 開發團隊已於 7 月發布 10.1.20 版作為緊急修補。修補程式主要封堵了可被濫用的命令執行介面，防止攻擊者透過特製郵件或 API 呼叫植入惡意指令。

影響範圍與應對措施

聯邦機構：CISA 的 KEV 名單是美國政府對已被證實利用漏洞的統一警示，列入後必須在規定期限內完成補丁部署，否則可能面臨合規罰款或資安稽查。
企業與組織：即使不屬於美國聯邦機構，使用 Zimbra 作為內部或對外郵件平台的單位，同樣應立即升級至 10.1.20 以上版本，並檢查是否有異常登入或郵件流量。
資安防禦：建議同時加強網路流量監控、入侵偵測系統（IDS）以及日誌分析，快速辨識可能的利用跡象。

未來展望與讀者啟示

此事件凸顯了 供應鏈安全（軟體供應商發布的漏洞修補）與 即時威脅情報（如 CERT Polska 與 CISA 的通報）之間的緊密關聯。對於資訊安全從業人員而言，必須建立以下兩點作法：

快速追蹤官方公告：無論是國際資安機構（CISA、CERT）或軟體原廠，第一時間取得漏洞資訊與修補時間表，才能在攻擊者之前完成防禦。
落實補丁管理流程：將關鍵系統的補丁測試與部署納入例行作業，避免因「測試時間過長」而錯失最佳防禦窗口。

最後，資安日報與資安週報已推出免費電子報，提供每日與每週的資安要聞，協助讀者快速掌握全球與臺灣最新的資安脈動，歡迎訂閱以提升自身的資安防護能力。