Zimbra Collaboration Suite (ZCS) · Ejecución de comandos sin autenticación, ya explotada

Durante años nos hemos acostumbrado a pensar que un servidor de correo corporativo es terreno conocido y, por tanto, seguro. La realidad es más incómoda: basta un paquete opcional mal medido para convertir ese buzón en una puerta abierta. Es lo que ocurre con CVE-2026-73570, un fallo de Zimbra Collaboration Suite que permite ejecutar órdenes en el servidor sin necesidad de usuario ni contraseña y que, según la agencia estadounidense CISA, ya se está explotando de forma activa contra organizaciones reales.

Descripción

Qué es. Zimbra Collaboration Suite (ZCS) es una plataforma de correo electrónico, calendario y colaboración que muchas empresas y administraciones alojan en sus propios servidores como alternativa a los grandes proveedores en la nube. La vulnerabilidad CVE-2026-73570 es un fallo de inyección de comandos —técnicamente, una debilidad del tipo CWE-78 (OS Command Injection, inyección de comandos del sistema operativo)— en el componente que Zimbra usa para enviar notificaciones SNMP. SNMP (Simple Network Management Protocol) es un protocolo estándar de monitorización que sirve para vigilar el estado de servidores y equipos de red.

A quién afecta de verdad. Este fallo no está presente en todas las instalaciones de Zimbra. La explotación solo es posible cuando se cumplen dos condiciones a la vez: que el administrador haya instalado el paquete opcional zimbra-snmp y que, además, haya activado el envío de notificaciones SNMP. Si ese paquete no está instalado o esas notificaciones no están habilitadas, ese vector de ataque concreto no se activa. Por eso el primer paso recomendado es comprobar la exposición real antes de alarmarse.

Versiones afectadas y corregidas. Están afectadas todas las versiones de ZCS anteriores a la 10.1.20. El problema quedó corregido en Zimbra Collaboration Suite 10.1.20, publicada el 20 de julio de 2026. El fallo fue reportado por el SOC (centro de operaciones de seguridad) del Gobierno del Estado de la Ciudad del Vaticano, según la propia tabla de avisos de Zimbra.

Mecánica

La descripción oficial de Zimbra es deliberadamente escueta: «se corrigió una vulnerabilidad de inyección de comandos en el componente de monitorización SNMP cuando las notificaciones SNMP están habilitadas». Conviene distinguir aquí lo confirmado por el fabricante de los detalles añadidos por análisis de terceros.

Lo que confirma el fabricante

Existe un punto en el componente SNMP donde una entrada controlada por el atacante acaba ejecutándose como una orden del sistema operativo. La inyección de comandos consiste precisamente en eso: el programa construye un comando para el sistema concatenando datos externos sin depurarlos, de modo que quien envía esos datos puede «colar» instrucciones propias que el servidor ejecuta como si fueran suyas.

Lo que añaden los análisis externos

Varios análisis independientes describen el vector de ataque como el envío de solicitudes SMTP manipuladas —SMTP es el protocolo con el que los servidores de correo reciben mensajes— que terminan alcanzando el componente SNMP y desencadenando la ejecución de comandos. Como un servidor de correo está, por definición, escuchando peticiones externas, el atacante no necesita credenciales: de ahí que se hable de un fallo «preautenticación» (explotable antes de iniciar sesión).

Las órdenes se ejecutarían con los permisos del usuario zimbra, la cuenta de servicio bajo la que corre la plataforma. No es el usuario root (administrador total del sistema), pero sí una posición muy delicada: da acceso a la configuración del correo, a los buzones y a componentes críticos del servicio, y suele ser un buen trampolín para seguir escalando dentro del sistema.

En cuanto a la gravedad, la puntuación CVSS v3.1 es de 8,9 sobre 10 (ALTA), con vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L, según NVD/NIST e INCIBE-CERT. Ese vector refleja un ataque por red, sin privilegios ni interacción del usuario, pero con una complejidad de ataque calificada como «alta» (AC:H), coherente con que hagan falta esas dos condiciones previas en el servidor.

Respuesta del creador

Zimbra (fabricante). Incluyó la corrección en la versión 10.1.20, publicada el 20 de julio de 2026, y la recoge en su Centro de Seguridad y en su tabla de avisos de seguridad. A fecha de redacción, Zimbra marca la puntuación CVSS de este fallo como «TBD» (pendiente de determinar) en su propia tabla; la puntuación de 8,9 procede de NVD/NIST.

CISA (EE. UU.). La Agencia de Ciberseguridad y Seguridad de las Infraestructuras estadounidense añadió CVE-2026-73570 a su catálogo Known Exploited Vulnerabilities (KEV) —vulnerabilidades con explotación constatada— el 21 de agosto de 2026, y fijó como fecha límite de mitigación el 24 de agosto de 2026 para las agencias federales civiles. Esa inclusión es la que permite afirmar, de forma objetiva, que el fallo se está explotando activamente; el catálogo KEV no reserva ese paso para riesgos teóricos.

Otros organismos. El CERT de Polonia (CERT Polska) y el Centro Canadiense de Ciberseguridad emitieron avisos sobre explotación activa, y en España INCIBE-CERT publicó la ficha de la vulnerabilidad (gravedad ALTA, 8,9). Empresas de monitorización como Shadowserver llegaron a reportar más de 270 servidores Zimbra ya comprometidos en los días posteriores. Estas cifras proceden de observación externa y pueden quedar desfasadas. No existe, por ahora, atribución pública fiable a un actor concreto, por lo que evitamos especular sobre su autoría.

Parches y mitigaciones

Qué hacer hoy

1. Medir la exposición real. Comprueba primero si el paquete opcional zimbra-snmp está instalado y si las notificaciones SNMP están activadas. Si no se dan ambas condiciones, ese vector de ataque concreto no aplica a tu servidor, aunque la actualización sigue siendo recomendable.
2. Actualizar a ZCS 10.1.20 o superior. Es la versión que corrige el fallo. Tras instalarla, valida que el número de versión ha cambiado, reinicia el servicio de forma controlada y verifica que todo queda estable.

Si ya estabas expuesto: no basta con parchear

Al tratarse de un fallo preautenticación con explotación activa, actualizar tarde no garantiza que nadie haya entrado antes. Los análisis publicados describen indicadores de compromiso que conviene revisar:

• Reinicios inesperados del servicio de Zimbra y actividad anómala del usuario zimbra.
• Creación reciente de ficheros en rutas sensibles como /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ y /tmp/ (posibles webshells o puertas traseras).
• Conexiones salientes inusuales y anomalías en los registros de autenticación.

Ante sospecha de intrusión, el siguiente paso es ampliar la respuesta: búsqueda de mecanismos de persistencia, rotación de credenciales asociadas al servidor y, en su caso, aislamiento del sistema para análisis forense.

Apunte legal (España/UE)

Si se confirma acceso no autorizado a datos personales, el RGPD obliga a notificar la brecha a la AEPD en un plazo máximo de 72 horas desde que se tiene constancia (art. 33) y, cuando exista alto riesgo para los afectados, a comunicárselo también a estos (art. 34). Un servidor de correo comprometido es, casi por definición, un escenario con datos personales en juego, por lo que conviene documentar desde el minuto uno el análisis y las medidas adoptadas.

Fuentes

• Zimbra Security Advisories (aviso oficial del fabricante)
• Zimbra Security Center — ZCS 10.1.20 (20 jul 2026)
• INCIBE-CERT — CVE-2026-73570
• NVD (NIST) — CVE-2026-73570 Detail
• CISA — Known Exploited Vulnerabilities Catalog (KEV)
• BleepingComputer — CISA orders urgent patching of actively exploited Zimbra flaw
• BleepingComputer — Hackers breached over 270 Zimbra servers in ongoing attacks
• Canadian Centre for Cyber Security — Zimbra security advisory (AV26-816)
• SecurityAffairs — Poland's CERT warns of active exploitation of Zimbra flaw
• Una al día (Hispasec) — CISA exige parchear un fallo de Zimbra ya explotado