Resumen

Se ha descubierto una vulnerabilidad de ejecución remota de código (RCE) en Zimbra Collaboration Server (ZCS) versiones anteriores a 10.1.20. El fallo afecta al paquete opcional zimbra‑snmp cuando las notificaciones SNMP están activadas.

Detalles técnicos

  • CVE: CVE‑2026‑73570
  • CVSS v3.1: 8.9 (High) – AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L
  • CWE: 78 (Improper Neutralization of Special Elements used in an OS Command)
  • Vector: Un atacante no autenticado envía peticiones SMTP manipuladas que son procesadas por el motor de notificaciones SNMP, lo que permite la ejecución de comandos del sistema bajo la cuenta zimbra.

"Attackers can execute arbitrary OS commands" – The Hacker News

Impacto

La ejecución de comandos como usuario zimbra puede permitir la toma de control parcial del servidor, acceso a datos de correo y posible escalado de privilegios dentro del entorno.

Mitigación

  • Actualizar ZCS a la versión 10.1.20 o posterior.
  • Si no se necesita SNMP, desinstalar el paquete zimbra‑snmp o desactivar las notificaciones SNMP.
  • Revisar logs de SNMP y SMTP en busca de actividad sospechosa.

Detección con DefensOps

DefensOps ofrece cobertura genérica mediante su motor de correlación, incluido en el plan Essential, que permite identificar patrones de tráfico anómalo y comandos inusuales asociados a esta vulnerabilidad.

Referencias

¿Estás cubierto en DefensOps?

Con el plan Essential dispones de la cobertura genérica del motor de correlación para detectar la explotación de CVE‑2026‑73570. No se requieren reglas específicas de MITRE ATT&CK, pero el motor correlaciona indicadores de compromiso típicos de RCE y actividad SNMP sospechosa.
Consulta nuestros planes y solicita una demo