CISA ha incluido la vulnerabilidad CVE-2026-73570 de Zimbra Collaboration Suite en su catálogo de fallos explotados, y ha marcado una ventana de mitigación inmediata. El defecto permite ejecutar comandos de forma remota sin autenticación en servidores con zimbra-snmp y notificaciones SNMP activadas.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, CISA, ha ordenado aplicar con urgencia la corrección de CVE-2026-73570, un fallo de Zimbra Collaboration Suite (ZCS) con evidencias de explotación activa. La directiva afecta de forma directa a los organismos federales civiles estadounidenses, pero en la práctica coloca en máxima prioridad a cualquier organización que mantenga servidores Zimbra expuestos a Internet y que procese correo entrante desde redes no confiables.
El problema abre la puerta a ejecución remota de comandos sin necesidad de autenticación. El vector no aparece en todas las instalaciones: la explotación se activa cuando el administrador instaló el paquete opcional zimbra-snmp y además habilitó las notificaciones SNMP. En ese escenario, un atacante puede enviar solicitudes SMTP manipuladas para desencadenar una inyección de comandos a nivel de sistema operativo, con ejecución de órdenes arbitrarias con los permisos del usuario zimbra. En un servidor de correo, esa posición resulta especialmente delicada, porque combina exposición constante, capacidad de procesar entradas externas y acceso a componentes críticos del servicio.
Zimbra corrigió el fallo en Zimbra Collaboration Suite 10.1.20, publicada el 20 de julio de 2026. Más tarde, CISA añadió la vulnerabilidad al catálogo Known Exploited Vulnerabilities (KEV) el 21 de agosto de 2026, un paso que suele reservar para defectos con explotación constatada. La agencia fijó como fecha límite de mitigación para el entorno FCEB el 24 de agosto de 2026, un margen muy corto que funciona como termómetro del riesgo operativo.
La actualización, aun siendo prioritaria, no debería cerrar el incidente por sí sola. Se han descrito indicios que obligan a mirar a los registros y al estado del servidor: reinicios inesperados del servicio de Zimbra, actividad anómala del usuario zimbra y creación reciente de ficheros en rutas sensibles como /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ y /tmp/. La recomendación práctica pasa por confirmar primero si zimbra-snmp está instalado y si SNMP envía notificaciones, para medir la exposición real, y después aplicar 10.1.20 o superior.
Tras parchear, conviene validar que la versión ha cambiado, reiniciar el servicio de forma controlada y comprobar que todo queda estable. Si hay sospecha de intrusión, el siguiente paso consiste en ampliar la respuesta: búsqueda de persistencia, revisión de anomalías de autenticación, análisis de conexiones salientes inusuales y, si procede, rotación de credenciales asociadas al servidor. En fallos preautenticación como este, llegar tarde no significa solo ‘actualizar’, también implica confirmar que nadie entró antes.
Más información
- BleepingComputer – CISA orders urgent patching of actively exploited Zimbra flaw : https://www.bleepingcomputer.com/news/security/cisa-orders-urgent-patching-of-actively-exploited-zimbra-flaw/
- NVD (NIST) – CVE-2026-73570 Detail : https://nvd.nist.gov/vuln/detail/CVE-2026-73570
- Canadian Centre for Cyber Security – Zimbra security advisory (AV26-816) – Update 1 : https://www.cyber.gc.ca/en/alerts-advisories/zimbra-security-advisory-av26-816
- Datapath News – Zimbra KEV Alert: Patch, Then Hunt for Evidence : https://www.mydatapath.com/news/zimbra-kev-vulnerability-patch-hunt-2026/
La entrada CISA exige parchear un fallo de Zimbra que ya se explota para ejecutar comandos sin autenticación se publicó primero en Una Al Día.
