{"id":5254,"date":"2026-08-25T15:34:33","date_gmt":"2026-08-25T20:34:33","guid":{"rendered":"https:\/\/cert.pa\/?p=5254"},"modified":"2026-08-25T15:34:33","modified_gmt":"2026-08-25T20:34:33","slug":"csirt-panama-aviso-2026-ago-25-vulnerabilidad-critica-en-zimbra-que-presenta-inyeccion-de-comandos-cve-2026-73570","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=5254","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-ago-25:\u00a0Vulnerabilidad Cr\u00edtica en Zimbra que presenta inyecci\u00f3n de comandos\u00a0\u2014 CVE-2026-73570"},"content":{"rendered":"\n

Fecha de emisi\u00f3n: 25 de agosto de 2026<\/p>\n\n\n\n

CVE ID: CVE-2026-73570<\/p>\n\n\n\n

Severidad: CR\u00cdTICA \u2014 CVSS 3.1: 8.9<\/p>\n\n\n\n

Vector CVSS: CVSS:3.1\/AV:N\/AC:H\/PR:N\/UI:N\/S:C\/C:H\/I:H\/A:L<\/p>\n\n\n\n

Tipo de vulnerabilidad: CWE-78:\u00a0Neutralizaci\u00f3n inadecuada de elementos especiales usados en un comando de SO (‘Inyecci\u00f3n de comandos de SO’)<\/p>\n\n\n\n

Producto afectado: Zimbra Collaboration Suite (ZCS) y paquete zimbra-snmp <\/p>\n\n\n\n

Explotaci\u00f3n activa: S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 21 de agosto de 2026<\/p>\n\n\n\n

Fuente: NVD \/ Zimbra \/ BleepingComputer <\/p>\n\n\n\n

Clasificaci\u00f3n TLP: TLP:WHITE (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

\n

I. Descripci\u00f3n <\/strong><\/p>\n\n\n\n

Zimbra Collaboration Suite (ZCS) en versiones anteriores a la 10.1.20 presenta una vulnerabilidad cr\u00edtica de inyecci\u00f3n de comandos identificada como CVE-2026-73570<\/strong>, que afecta al componente SNMP cuando el paquete opcional zimbra-snmp<\/strong> est\u00e1 instalado y las notificaciones SNMP se encuentran habilitadas. Bajo estas condiciones, un atacante no autenticado puede enviar solicitudes SMTP especialmente dise\u00f1adas para ejecutar comandos arbitrarios en el sistema operativo con los privilegios del usuario zimbra<\/strong>. Para corregir esta vulnerabilidad, Zimbra public\u00f3 el 20 de julio de 2026 la versi\u00f3n 10.1.20<\/strong>, clasificada con severidad alta y riesgo de despliegue bajo. En las notas oficiales de esta versi\u00f3n, la compa\u00f1\u00eda indica que incluye la correcci\u00f3n permanente de una \u201cvulnerabilidad de inyecci\u00f3n de comandos en el componente de monitoreo SNMP cuando las notificaciones SNMP est\u00e1n habilitadas\u201d, recomendando la actualizaci\u00f3n inmediata para mantener la seguridad del entorno.<\/p>\n<\/div>\n\n\n\n

\n

II. Impacto <\/strong><\/p>\n\n\n\n

La criticidad del problema qued\u00f3 reforzada el 21 de agosto de 2026<\/strong>, cuando la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA<\/strong>) incorpor\u00f3 CVE-2026-73570<\/strong> a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV)<\/strong>, confirmando que la vulnerabilidad estaba siendo explotada activamente, esta inclusi\u00f3n refleja la urgencia de aplicar las medidas de mitigaci\u00f3n recomendadas por el fabricante y priorizar la actualizaci\u00f3n de los sistemas afectados.<\/p>\n\n\n\n

La explotaci\u00f3n activa tambi\u00e9n fue documentada por CERT Polska<\/strong>, que el 17 de agosto de 2026 alert\u00f3 sobre ataques en curso dirigidos a servidores Zimbra vulnerables. La explotaci\u00f3n requiere que el servicio de notificaciones SNMP (snmp_notify<\/strong>) y el servicio swatchdog<\/strong> se encuentren activos, configuraci\u00f3n que suele estar habilitada por defecto en numerosas instalaciones. Adicionalmente, la organizaci\u00f3n Shadowserver<\/strong> report\u00f3 aproximadamente 12.000 servidores Zimbra expuestos a Internet<\/strong>, principalmente en Europa y Asia, as\u00ed como m\u00e1s de 270 instancias comprometidas<\/strong> en las que se identificaron artefactos asociados a la explotaci\u00f3n de CVE-2026-73570, incluidos posibles webshells y otros componentes maliciosos.<\/p>\n<\/div>\n\n\n\n

\n

III. Recomendaciones <\/strong><\/p>\n\n\n\n

Como medidas de detecci\u00f3n y respuesta, se recomienda revisar los registros de Zimbra en busca de eventos inusuales, especialmente reinicios inesperados de servicios, que podr\u00edan ser indicativos de una explotaci\u00f3n exitosa. Asimismo, es aconsejable inspeccionar los directorios \/opt\/zimbra\/jetty\/webapps\/<\/strong>, \/opt\/zimbra\/jetty_base\/webapps\/<\/strong> y \/tmp\/<\/strong> para identificar archivos creados recientemente por el usuario zimbra<\/strong>, prestando especial atenci\u00f3n a la presencia de webshells, scripts, binarios desconocidos u otros artefactos que puedan evidenciar un compromiso del sistema.<\/p>\n\n\n\n

La principal medida de mitigaci\u00f3n consiste en actualizar todos los servidores afectados a ZCS 10.1.20 o una versi\u00f3n posterior<\/strong>, ya que esta versi\u00f3n incorpora la correcci\u00f3n definitiva del problema. Cuando la funcionalidad SNMP no sea requerida por la organizaci\u00f3n, se recomienda deshabilitar el servicio zimbra-snmp<\/strong> o las notificaciones snmp_notify<\/strong> para reducir la superficie de ataque. Del mismo modo, puede evaluarse la desactivaci\u00f3n del servicio swatchdog<\/strong> si no existe una necesidad operativa que justifique su uso. Estas acciones deben complementarse con la aplicaci\u00f3n de las recomendaciones emitidas por Zimbra y con los procedimientos de gesti\u00f3n de vulnerabilidades establecidos por la organizaci\u00f3n.<\/p>\n<\/div>\n\n\n\n

IV. Referencias <\/strong><\/p>\n\n\n\n