Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Correo SMTP manipulado activa puertas web en servidor Zimbra.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según The Hacker News, que cita a Microsoft Security Research, se ha explotado CVE-2026-73570 en Zimbra Collaboration Suite para desplegar puertas web y acceder a datos de buzones.

La falla es una inyección de comandos sin autenticación que requiere notificaciones SNMP habilitadas y el paquete opcional zimbra-snmp instalado.

El medio indica que una solicitud SMTP especialmente preparada puede activar la explotación sin interacción del usuario.

Zimbra corrigió la vulnerabilidad en julio de 2026 con la versión 10.1.20.

Microsoft observó puertas web JSP, escalada de privilegios, herramientas de acceso persistente y acceso a datos de autenticación y correo, según la publicación.

La identidad de los atacantes no se conoce y Microsoft observó organizaciones afectadas de más de una región e industria.

En un caso descrito, hubo una tentativa de transferencia de un archivo de respaldo de buzones mediante una herramienta de almacenamiento en la nube, sin confirmación de que terminara.

Análisis de Defensops

La combinación de SMTP expuesto, notificaciones SNMP y el paquete opcional delimita la superficie descrita. Esa condición permite priorizar servidores con la configuración vulnerable, aunque la actualización sigue siendo la medida principal para cualquier instalación afectada.

El acceso inicial se habría utilizado para persistencia y búsqueda de secretos centrales de Zimbra. Por ello, comprobar solo que el servidor está actualizado no basta para descartar una intrusión anterior: conviene revisar señales de ejecución anómala, puertas web y cambios de persistencia.

Los hallazgos proceden de una síntesis periodística de observaciones atribuidas a Microsoft y otras entidades. La publicación no demuestra que cada técnica apareciera en todos los servidores. La transferencia de datos descrita en un caso fue una tentativa cuyo resultado no pudo confirmarse.

La exposición de secretos de autenticación puede ampliar el impacto más allá de un único buzón, porque se describen consultas LDAP y movimiento entre nodos de confianza. Las decisiones de respuesta deben basarse en lo hallado en cada instalación, sin asumir una cadena idéntica para todas.

Prioridades de revisión

Identificar las instalaciones de Zimbra con zimbra-snmp y notificaciones SNMP habilitadas, especialmente las accesibles por SMTP desde redes no confiables.

Aplicar la versión corregida 10.1.20 o una posterior compatible y comprobar el resultado de la actualización.

Si la actualización se retrasa, valorar desinstalar zimbra-snmp, desactivar las notificaciones SNMP y limitar el acceso SNMP y SMTP a sistemas de confianza, según la configuración operativa.

Revisar registros de Zimbra, archivos inesperados en directorios temporales y webapps, servicios nuevos y otras formas de persistencia antes de dar por cerrado el riesgo.

Si se confirma compromiso, investigar el acceso a buzones y secretos de autenticación y rotar los secretos afectados dentro del proceso de respuesta.

Qué no se ha confirmado

La publicación no identifica a los responsables de los ataques.

No todos los servidores observados presentaron todas las fases de la cadena de ataque.

No está confirmado que terminara la transferencia de datos descrita en un servidor.

La evidencia disponible es una cobertura periodística de hallazgos atribuidos y no una verificación independiente de Defensops.

Fuente

The Hacker News. Fecha indicada: 2026-09-30.