La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, CISA, ha incluido la vulnerabilidad CVE-2026-73570 de Zimbra Collaboration Suite en su catálogo de fallos explotados activamente y ha establecido una ventana de mitigación inmediata. Esta vulnerabilidad permite la ejecución remota de comandos sin autenticación en servidores que tengan instalado zimbra-snmp y las notificaciones SNMP activadas.
CISA ha ordenado la aplicación urgente de la corrección de CVE-2026-73570, un defecto en Zimbra Collaboration Suite con evidencias de explotación activa. La directiva afecta directamente a los organismos federales civiles estadounidenses, aunque en la práctica afecta a cualquier organización que mantenga servidores Zimbra expuestos a Internet y que procese correo electrónico entrante desde redes no confiables.
El problema permite la ejecución remota de comandos sin necesidad de autenticación. La explotación se activa cuando el administrador ha instalado el paquete opcional zimbra-snmp y ha habilitado las notificaciones SNMP. En esta situación, un atacante puede enviar solicitudes SMTP manipuladas para desencadenar una inyección de comandos a nivel del sistema operativo, permitiendo la ejecución de órdenes arbitrarias con los permisos del usuario zimbra. En un servidor de correo, esta posición resulta especialmente crítica, ya que combina exposición constante, capacidad de procesar entradas externas y acceso a componentes vitales del servicio.
Zimbra corrigió el fallo en Zimbra Collaboration Suite 10.1.20, publicada el 20 de julio de 2026. Posteriormente, CISA añadió la vulnerabilidad al catálogo Known Exploited Vulnerabilities el 21 de agosto de 2026, un paso que reserva habitualmente para defectos con explotación constatada. La agencia fijó como fecha límite de mitigación para el entorno FCEB el 24 de agosto de 2026, un plazo muy corto que refleja el nivel de riesgo operativo.
La actualización, aunque prioritaria, no debería cerrar el incidente por sí sola. Se han identificado indicios que requieren revisar los registros y el estado del servidor: reinicios inesperados del servicio de Zimbra, actividad anómala del usuario zimbra y creación reciente de ficheros en rutas sensibles como /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ y /tmp/. La recomendación práctica consiste en confirmar primero si zimbra-snmp está instalado y si SNMP envía notificaciones para evaluar la exposición real, y posteriormente aplicar la versión 10.1.20 o superior.
Después de aplicar la corrección, es conveniente validar que la versión ha cambiado, reiniciar el servicio de forma controlada y verificar que todo permanece estable. Si existe sospecha de intrusión, el siguiente paso consiste en ampliar la respuesta mediante búsqueda de persistencia, revisión de anomalías de autenticación, análisis de conexiones salientes inusuales y, si es necesario, rotación de credenciales asociadas al servidor. En vulnerabilidades preautenticación como esta, actuar tarde no significa solo actualizar, también implica confirmar que ninguna persona no autorizada ha accedido previamente al sistema.
Con Información de unaaldia.hispasec.com
