Vulnerabilidad crítica en Zimbra explotada activamente contra servidores chilenos
CVE-2026-73570 permite ejecución remota de comandos sin autenticación en el componente SNMP de Zimbra Collaboration. ANCI confirma explotación activa contra servidores expuestos en Chile; CSA Labs suma una segunda fuente independiente y la asocia — sin confirmación de ANCI — a actividad de mayor sofisticación.
- ANCI confirma explotación activa de CVE-2026-73570 en servidores Zimbra Collaboration expuestos a Internet dentro de Chile: un atacante remoto no autenticado envía solicitudes SMTP especialmente diseñadas contra el componente de monitoreo SNMP y ejecuta comandos arbitrarios con privilegios del usuario
zimbra. - Afecta a versiones anteriores a 10.1.20 con el paquete opcional de monitoreo SNMP instalado. No se requieren credenciales ni interacción del usuario — es la combinación de mayor riesgo posible para un servicio expuesto a Internet.
- CSA Labs corroboró el hallazgo de forma independiente el mismo día y lo describe como parte de una campaña de mayor sofisticación; ANCI no hace esa atribución. Tratamos esa lectura como evaluación, no como dato confirmado.
Qué pasó
El CSIRT Nacional publicó la alerta AVC26-00731 advirtiendo sobre la explotación activa de CVE-2026-73570, una vulnerabilidad de inyección de comandos del sistema operativo en el componente de monitoreo SNMP de Zimbra Collaboration.
Según la fuente, la falla se origina por una sanitización inadecuada de entradas no confiables durante el procesamiento de notificaciones SNMP, y es explotable enviando solicitudes SMTP especialmente diseñadas hacia el servidor. El resultado es ejecución de comandos arbitrarios con los privilegios del usuario zimbra — sin autenticación previa ni interacción de una víctima.
La vulnerabilidad afecta a versiones de Zimbra Collaboration anteriores a 10.1.20, y solo cuando está instalado el paquete opcional de monitoreo SNMP (zimbra-s[nmp], según el extracto disponible de la alerta). ANCI observó explotación dentro del ciberespacio nacional, es decir, contra instancias alojadas o administradas desde Chile, no solo reportes internacionales.
CSA Labs publicó de forma independiente una nota de investigación sobre el mismo CVE ("Zimbra SNMP Flaw Under Active Exploitation"), confirmando la explotación activa desde una fuente distinta a ANCI. Según la corroboración cruzada, dos fuentes primarias — ANCI y CSA Labs — llegaron al mismo hecho por su cuenta, lo que es suficiente para afirmar el patrón de explotación activa sin depender de una sola fuente.
Por qué importa acá
Zimbra Collaboration es una plataforma de correo y colaboración con presencia relevante en organismos públicos, universidades y empresas medianas en Chile, en parte por ser una alternativa de menor costo licenciamiento frente a suites comerciales. Un servidor de correo comprometido no es un incidente más: es acceso a buzones completos, capacidad de pivotar hacia otras cuentas mediante ingeniería social interna, y en muchos casos el punto de confianza que valida facturas, transferencias y comunicaciones oficiales.
Que la explotación sea no autenticada y sin interacción del usuario significa que el único requisito del atacante es encontrar el puerto correcto expuesto a Internet — no depende de que alguien haga clic en nada. Para un servicio que por definición está expuesto a Internet (recibe correo del mundo entero), la superficie de ataque es máxima.
Dado que servidores de correo suelen calificar como infraestructura crítica dentro del alcance de proveedores de servicios esenciales u operadores de importancia vital bajo la Ley 21.663, este tipo de explotación activa dispara obligaciones de reporte para las entidades OIV que operen Zimbra.
Zimbra aparece dos veces en el radar de ANCI en 48 horas, por dos vías completamente distintas: AVC26-00731 (esta pieza, explotación técnica de CVE-2026-73570) y ACF26-01155, una campaña fraudulenta que suplanta la marca Zimbra para phishing. No hay evidencia de que ambas campañas compartan infraestructura o actor — son fenómenos independientes — pero juntas describen una exposición doble sobre el mismo producto: el servidor puede ser comprometido directamente por la vulnerabilidad, y sus usuarios pueden ser engañados por separado para entregar credenciales. Un equipo que solo mitigue el CVE y no revise también reportes de phishing con marca Zimbra deja la mitad del riesgo sin cubrir.
Por separado, CSA Labs enmarca la explotación de CVE-2026-73570 dentro de lo que describe como actividad de mayor sofisticación (confianza media: es la fuente primaria más específica sobre el actor, pero ANCI no hace esa atribución y no descartamos que se trate de explotación oportunista por múltiples actores reutilizando el mismo exploit público una vez liberado). Lo que sí queda establecido con confianza alta, por venir de dos fuentes primarias independientes, es que la explotación está activa y no es un hallazgo de laboratorio.
Zimbra Collaboration — El mismo producto aparece en dos alertas ANCI distintas en 48 horas (AVC26-00731 explotación técnica, ACF26-01155 campaña fraudulenta de phishing), sin indicios de que compartan infraestructura o actor.Con un exploit no autenticado y de ejecución remota ya circulando lo suficiente como para que dos fuentes primarias lo reporten el mismo día, es esperable que en las próximas semanas aparezcan reportes de compromiso post-explotación (webshells, exfiltración de buzones, uso del servidor como pivote) contra instancias chilenas que no hayan parcheado. Vale la pena seguir si CSA Labs o ANCI publican IOCs de red asociados a la explotación — hasta ahora ninguna de las dos fuentes los ha entregado.
Anatomía del ataque
Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.
T1190— El vector es el componente SNMP de Zimbra expuesto a Internet, alcanzable sin autenticación mediante solicitudes SMTP especialmente diseñadas.T1059— La inyección de comandos del SO permite ejecutar instrucciones arbitrarias con los privilegios del usuariozimbrauna vez explotada la vulnerabilidad.
Estructurado sobre las seis funciones del NIST CSF 2.0, según el ciclo de respuesta a incidentes de NIST SP 800-61r3 (abril 2025, reemplaza al r2). Proteger y Detectar vienen abiertas.
GV GobernarQuien decide, que se reporta y a quien
Si su organización opera Zimbra Collaboration y califica como proveedor de servicio esencial u operador de importancia vital bajo la Ley 21.663, la explotación activa confirmada de una vulnerabilidad crítica en un sistema propio es materia de reporte a ANCI. No citamos un plazo específico porque la alerta AVC26-00731 no lo detalla; verifique el plazo aplicable a su categoría directamente con ANCI antes de fijar un SLA interno.
- Determinar si la organización o alguno de sus proveedores califica como OIV/PSE y opera Zimbra Collaboration.
- Escalar el hallazgo al responsable de seguridad de la información y dejar registro de la fecha de detección/parcheo para trazabilidad de cumplimiento.
ID IdentificarSi esto me toca, por donde me toca
El primer paso es saber si el paquete vulnerable está instalado, no solo si Zimbra está presente.
- Inventariar todos los servidores Zimbra Collaboration expuestos a Internet, con su versión exacta.
- Verificar en cada servidor si el paquete opcional de monitoreo SNMP está instalado y activo (
zimbra-snmpo equivalente según el paquete de su versión). - Confirmar exposición real del puerto/servicio SNMP y del puerto SMTP hacia Internet mediante escaneo externo propio.
PR ProtegerComo evito que ocurra
La mitigación definitiva es actualizar; mientras eso ocurre, reducir la superficie de exposición del componente SNMP corta el vector de explotación conocido.
Controles priorizados
P1: esta semana · P2: este mes · P3: este trimestre
| Prio | Control | Esfuerzo | Mapeo |
|---|---|---|---|
| P1 | Actualizar Zimbra Collaboration a la versión 10.1.20 o superior en todos los servidores expuestos | medio | MITRE ATT&CK M1051 CIS Controls v8 7.1 ISO 27001 A.8.8 |
| P1 | Deshabilitar o desinstalar el paquete opcional de monitoreo SNMP si no es estrictamente necesario | bajo | MITRE ATT&CK M1042 CIS Controls v8 4.1 ISO 27001 A.8.9 |
| P2 | Restringir el acceso al servicio de monitoreo SNMP únicamente a redes internas de administración, nunca expuesto a Internet | medio | MITRE ATT&CK M1030 CIS Controls v8 12.2 ISO 27001 A.8.20 |
| P2 | Implementar reglas de WAF/reverse proxy que bloqueen patrones de inyección de comandos hacia endpoints de administración de Zimbra | medio | MITRE ATT&CK M1042 CIS Controls v8 13.1 ISO 27001 A.13.1 |
| P3 | Realizar búsqueda retrospectiva de 30 días en logs de Zimbra buscando patrones de explotación previos al parcheo | alto | MITRE ATT&CK M1047 CIS Controls v8 8.5 ISO 27001 A.5.28 |
El orden P1 no es negociable en este caso: la combinación de explotación no autenticada, sin interacción del usuario y ya confirmada por dos fuentes primarias hace que cualquier servidor Zimbra sin parchear y con el paquete SNMP instalado deba tratarse como vulnerable hoy, no como una tarea de mantenimiento del próximo ciclo.
DE DetectarComo me doy cuenta de que ya ocurrio
ANCI no publicó indicadores de red asociados a esta explotación al momento de esta alerta, por lo que la detección debe apoyarse en comportamiento del proceso, no en firmas de red.
Qué necesitas tener logueado
- Logs de aplicación de Zimbra (mailbox.log, audit.log, zmconfigd.log)
- Telemetría de procesos del sistema operativo (auditd en Linux, o EDR)
- Logs de tráfico de red/proxy hacia el servidor Zimbra (puertos SMTP y SNMP)
Reglas y consultas de detección
title: Posible explotación de CVE-2026-73570 en Zimbra Collaboration
id: c1a2b3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d
status: experimental
logsource:
category: process_creation
product: linux
detection:
selection_parent:
ParentImage|contains:
- '/opt/zimbra/'
- 'zmconfigd'
- 'mailboxd'
selection_child:
Image|endswith:
- '/bin/sh'
- '/bin/bash'
- '/usr/bin/curl'
- '/usr/bin/wget'
- '/usr/bin/python3'
condition: selection_parent and selection_child
falsepositives:
- Tareas administrativas legítimas de mantenimiento de Zimbra que invocan scripts propios
level: high
DeviceProcessEvents
| where InitiatingProcessFolderPath has "/opt/zimbra/" or InitiatingProcessFileName has_any ("zmconfigd", "mailboxd")
| where FileName in~ ("sh", "bash", "curl", "wget", "python3")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine
| order by Timestamp desc
<rule id="100731" level="12"> <if_sid>530</if_sid> <field name="audit.exe">^/bin/(sh|bash)$</field> <field name="audit.ppid_process">zmconfigd|mailboxd</field> <description>Posible explotacion CVE-2026-73570: shell generado desde proceso de Zimbra</description> <group>zimbra,cve_2026_73570,command_injection</group> </rule>
Las reglas basadas en "proceso hijo shell desde componente Zimbra" pueden dispararse con tareas de mantenimiento administrativas legítimas (backups programados, scripts de zmconfigd normales). Antes de escalar a incidente, verificar si el comando ejecutado corresponde a una tarea programada conocida (crontab de zimbra) o si el proceso padre corresponde efectivamente al componente SNMP/SMTP y no a una tarea batch documentada.
RS ResponderContencion y erradicacion
Ante evidencia de explotación en un servidor propio, tratar el host como comprometido, no como "vulnerable pero no explotado".
- Aislar el servidor de red (o restringir a segmento de contención) sin apagarlo, para preservar evidencia forense.
- Capturar procesos en ejecución, conexiones de red activas y logs de Zimbra (
mailbox.log,audit.log) antes de cualquier reinicio. - Revisar el servidor en busca de webshells, tareas cron nuevas, usuarios del sistema creados y binarios modificados bajo el árbol de instalación de Zimbra.
- Rotar credenciales de todas las cuentas de correo alojadas en el servidor comprometido, asumiendo posible acceso a buzones.
- Reportar el incidente a ANCI si la organización califica como OIV/PSE.
RC RecuperarVolver a operar y no repetirlo
No reconectar a producción hasta confirmar la versión parcheada y la ausencia de persistencia.
- Actualizar a Zimbra Collaboration 10.1.20 o superior antes de restaurar el servicio a producción.
- Reconstruir el servidor desde una imagen limpia si se confirmó ejecución de comandos post-explotación, en lugar de solo parchear sobre el sistema comprometido.
- Monitorear con prioridad alta el servidor durante al menos 30 días posteriores a la restauración.
Llévatelo
Lo de arriba explica. Esto se ejecuta. Son archivos, no capturas de pantalla: se abren, se pegan y funcionan.
La regla Sigma es la canónica: es el formato neutral del que se derivan las demás. Si tu SIEM no aparece en la lista, esa se convierte con pySigma. Las traducciones a motores concretos van sin validar contra tu modelo de datos — revisa los nombres de tabla y campo antes de subirlas a producción.
Fuentes
- ANCIZimbra Collaboration - Vulnerabilidad Crítica (AVC26-00731) · 2026-08-26
- CSA LabsZimbra SNMP Flaw Under Active Exploitation (CVE-2026-73570) · 2026-08-26
- ANCIZimbra - Campaña Fraudulenta (ACF26-01155) · 2026-08-24
¿Esto te aplica y no sabes por dónde partir?
Revisamos tu exposición real frente a lo que describe este análisis: superficie expuesta, cobertura de detección y brechas frente a la Ley 21.663. Diagnóstico de 15 minutos, sin costo.
Agendar diagnósticoRelacionado
Falla crítica en Hitachi Energy Asset Suite expone servlets sin autenticación
CISA documentó dos CVEs con CVSS 8.1 en el software de gestión de activos que usan generadoras, transmisoras y distribui…
CVE-2026-65660 en SharePoint on-premise ya se explota activamente
CISA la sumó a su catálogo de explotación activa seis semanas después del parche de agosto. En paralelo, el ransomware W…
CISA suma falla crítica de Apple a su catálogo de explotación activa
CVE-2026-86950 afecta iOS, macOS y otros productos Apple; el parche de emergencia ya está disponible. Fuentes técnicas l…