Zimbra CVE-2026-73570, explotada antes de hacerse pública
Según Microsoft, los atacantes empezaron a aprovechar una vulnerabilidad de inyección de comandos de gravedad alta en Zimbra Collaboration Suite (ZCS) en las semanas posteriores a la publicación del parche, pero antes de que el fallo se divulgara públicamente.
La vulnerabilidad, identificada como CVE-2026-73570, tiene una puntuación CVSS de 8,9. Afecta a las versiones de ZCS anteriores a la 10.1.20 y permite a atacantes no autenticados ejecutar código de forma remota en servidores de correo vulnerables.
Cómo funciona el fallo
El problema está en la forma en que ZCS gestiona las notificaciones SNMP. SNMP (Simple Network Management Protocol) se usa habitualmente para supervisar y administrar dispositivos y servicios de red. En las versiones afectadas, los datos no fiables que se procesan durante estas notificaciones no se depuran correctamente, lo que abre la puerta a la inyección de comandos del sistema operativo.