La agencia estadounidense CISA ha incorporado CVE-2026-73570 a su catálogo de vulnerabilidades explotadas conocidas, una decisión que confirma actividad maliciosa real y eleva la prioridad de la actualización. El problema afecta a Zimbra Collaboration y puede permitir que un atacante ejecute comandos en el servidor sin autenticarse, aunque no todas las instalaciones quedan expuestas.
La condición clave es la configuración. Según la descripción oficial registrada en NVD, el servidor debe utilizar una versión anterior a 10.1.20, tener instalado el paquete opcional zimbra-snmp y contar con las notificaciones SNMP activadas. Si se cumplen esos tres requisitos, una solicitud SMTP manipulada puede alcanzar el componente de notificaciones y provocar una inyección de comandos del sistema operativo.
Qué corrige Zimbra 10.1.20
Zimbra identifica el defecto como una inyección de comandos en su componente de monitorización SNMP. La falta de saneamiento adecuado de datos no confiables permite que las órdenes se ejecuten con los permisos del usuario zimbra. La versión 10.1.20 incluye la corrección, por lo que el primer paso operativo consiste en verificar la versión y actualizar siguiendo las instrucciones del fabricante.
CISA añadió la vulnerabilidad a su catálogo KEV el 21 de agosto de 2026 y fijó el 24 de agosto como fecha límite para los organismos federales civiles de Estados Unidos. Ese plazo administrativo no se traslada automáticamente a otras organizaciones, pero la inclusión en KEV acredita explotación activa y ofrece una señal clara para adelantar el parche en cualquier servidor afectado expuesto a redes no confiables.
Actualizar y comprobar si hubo intrusión
Aplicar el parche corta el vector conocido, pero no demuestra que el equipo estuviera limpio antes de la actualización. Los responsables deberían inventariar qué servidores cumplen las condiciones, confirmar que el cambio a 10.1.20 o una versión posterior se completó y revisar la telemetría disponible durante el periodo de exposición. Si aparecen indicios de compromiso, la respuesta debe ampliarse más allá de una actualización rutinaria.
El riesgo práctico es importante porque el servicio SMTP recibe datos externos de forma continua. La ejecución como usuario zimbra no equivale por sí sola a control total del sistema, pero puede dar acceso a componentes y datos del servicio, facilitar persistencia o servir como punto de partida para otras acciones. Es el mismo motivo por el que conviene priorizar también la detección, como muestra el análisis de otras amenazas que convierten equipos comprometidos en infraestructura.
Lo que todavía no se ha hecho público
Las fuentes oficiales confirman el producto afectado, las condiciones de explotación, la versión corregida y la presencia del fallo en el catálogo KEV. Sin embargo, no detallan públicamente quién está explotándolo, cuántos servidores han sido comprometidos ni si la actividad pertenece a una campaña coordinada. Tampoco atribuyen el uso del fallo a un grupo concreto.
Esa ausencia de detalles no rebaja la urgencia, pero sí limita las conclusiones. Por ahora, lo verificable es que existe explotación en entornos reales y que el vector requiere una configuración específica. Los administradores que no utilicen zimbra-snmp con notificaciones activadas no encajan en el escenario descrito; aun así, deben mantener una rama compatible y con soporte. No conviene extrapolar indicadores no publicados ni presentar como confirmados posibles métodos de persistencia o movimientos posteriores.
