La falla de Zimbra CVE-2026-73570 se activa con un correo que nadie tiene que abrir: el mensaje llega, el servidor lo procesa y los comandos del atacante se ejecutan solos, sin contraseña y sin un solo clic de ningún empleado.
Microsoft Threat Intelligence documentó la explotación real de este hueco en Zimbra Collaboration Suite, la plataforma de correo y colaboración que usan empresas, universidades y oficinas públicas en medio mundo. La firma contó servidores comprometidos en varias regiones e industrias, y la Fundación Shadowserver llegó a contar 274 equipos ya tomados. GBHackers recogió el caso este 20 de octubre con los indicadores técnicos publicados por Microsoft.
El hueco tiene nombre técnico: inyección de comandos, catalogada como CWE-78, con nota de gravedad 8,9 sobre 10. Traducido a lenguaje llano, un texto preparado por el atacante se cuela en un proceso interno y el propio servidor lo interpreta como órdenes del sistema operativo.
El truco está en un complemento de monitoreo
No todo servidor con Zimbra quedó expuesto, y ese matiz define la historia. La falla de Zimbra solo se puede explotar cuando el equipo tiene instalado un paquete opcional llamado zimbra-snmp y las notificaciones SNMP quedan activadas. SNMP es el protocolo que muchas redes usan para vigilar el estado de sus servicios y disparar avisos.
El camino del ataque pasa por esa vigilancia. Una petición SMTP preparada, el protocolo de envío de correo, introduce caracteres especiales de intérprete de comandos en el procesamiento de las notificaciones. Cuando el vigilante interno del servicio, una utilidad llamada swatchdog, arma el aviso, mete ese texto dentro de una llamada del sistema y los comandos incrustados corren con los privilegios de la cuenta de servicio de Zimbra.
La cronología incomoda. Synacor, la empresa que mantiene Zimbra, publicó la corrección dentro de la versión 10.1.20 el 20 de julio de 2026. Ocho días después empezaron los sondeos: Microsoft detectó dos herramientas de escaneo probando el punto débil entre el 28 de julio y el 7 de agosto, con devoluciones de llamada por HTTP, DNS e ICMP y un agente de usuario distintivo, ZB73570. La divulgación pública de CVE-2026-73570 llegó recién el 13 de agosto. Alguien estuvo probando la cerradura en la ventana silenciosa entre el parche y el anuncio.
Del primer comando al buzón completo
Con el pie adentro, la actividad observada por Microsoft sube de nivel rápido. Los atacantes reconstruyen cargas codificadas y plantan puertas de acceso web (webshells) escritas en JSP dentro de los directorios Jetty y mailboxd del servidor. Alteran los permisos de la carpeta pública un momento y los devuelven a su estado original, un maquillaje pensado para pasar una revisión rápida.
La permanencia llega con un servicio falso del sistema llamado zimlog.service, creado fuera de las carpetas de la aplicación y con las fechas retocadas para parecer un servicio viejo. La subida de privilegios aprovecha ayudantes legítimos del propio Zimbra y un gancho en la configuración de sudo, el mecanismo que autoriza comandos como administrador, hasta dejar a la cuenta de servicio con sudo libre y sin contraseña.
El botín explica el esfuerzo: los secretos de autenticación de la plataforma. Microsoft vio recolección de credenciales de servicios y de atributos guardados en el directorio LDAP, entre ellos las claves que firman las sesiones de los usuarios. Con ese material, un atacante puede suplantar cuentas sin conocer las contraseñas personales. En un servidor, los operadores empaquetaron respaldos de buzones e intentaron moverlos con AzCopy a un destino de Azure Blob; Microsoft confirmó la recolección y el intento, y la transferencia no se completó.
Fechas, catálogo oficial y servidores que siguen expuestos
Polonia movió ficha temprano: su centro de emergencias informáticas, CERT Polska, reportó explotación activa el 17 de agosto. La agencia de ciberseguridad de Estados Unidos, CISA, metió la falla en su catálogo de vulnerabilidades explotadas conocidas el 21 de agosto y dio a las agencias federales un plazo de tres días para corregir. El informe técnico completo de Microsoft salió el 30 de septiembre.
Shadowserver aporta la foto del tamaño: las instancias de Zimbra rastreadas bajaron de unas 19.000 en la semana posterior al parche a cerca de 10.000 cuando Microsoft publicó su aviso, y dentro de esa población aparecieron las 274 comprometidas. La cuenta mezcla servidores de empresas medianas, campus y administraciones que en América Latina usan Zimbra por costo y por control local del correo.
La corrección es directa: actualizar a la versión 10.1.20 o una posterior. Donde el parche deba esperar, Microsoft recomienda quitar el paquete zimbra-snmp y apagar las notificaciones SNMP, que corta la ruta de entrada. Actualizar no basta para quien ya recibió visitas: la revisión pide buscar servicios del sistema inesperados, cambios en sudo, puertas web escondidas en cada nodo de correo y rotar los secretos de autenticación de la plataforma. Un servidor parchado con un zimlog.service adentro sigue siendo un servidor ajeno.
Fuente: GBHackers
Foto: Ars Technica vía RocketNews
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
