CISA incorpora CVE-2026-73570 de Zimbra a KEV por explotación activa

CISA añadió CVE-2026-73570 al catálogo Known Exploited Vulnerabilities (KEV) el 21 de agosto de 2026, confirmando evidencia de explotación activa. La falla afecta a Zimbra Collaboration Suite antes de la versión 10.1.20 cuando está instalado el componente opcional zimbra-snmp y se usan notificaciones SNMP.

La debilidad es una inyección de comandos del sistema operativo. Un atacante no autenticado puede enviar solicitudes SMTP especialmente diseñadas y provocar la ejecución de comandos con la cuenta de servicio zimbra en configuraciones vulnerables.

Un servidor de correo comprometido puede exponer buzones, credenciales, directorios corporativos y facilitar movimiento lateral. La explotación observada convierte este caso en una prioridad de respuesta, no solo de gestión ordinaria de parches.

El alcance depende de la versión y la configuración: no todos los despliegues tienen activo zimbra-snmp o las notificaciones afectadas, pero esa condición debe verificarse mediante inventario y no por suposición.

Actualizar a Zimbra 10.1.20 o una versión posterior es la medida principal. Si el cambio no puede ejecutarse de inmediato, el equipo debe deshabilitar temporalmente las notificaciones SNMP y el servicio de procesamiento asociado siguiendo el procedimiento del fabricante, además de reducir la exposición del servicio SMTP.

También conviene revisar registros de SMTP y del servicio Zimbra, procesos y tareas programadas no autorizadas, archivos recientes en rutas de la aplicación y accesos inusuales a cuentas administrativas. Si hubo exposición, se deben preservar evidencias y rotar secretos con alcance sobre el entorno de correo.