La vulnerabilidad Zimbra CVE-2026-73570 aterriza en el catálogo KEV de CISA con una advertencia clara: hay explotación activa en marcha.
La orden de CISA y el reloj del 24 de agosto
La orden de CISA fija el 24 de agosto de 2026 como límite para que las agencias federales civiles corrijan el agujero. No es una recomendación amable: es una directiva operativa vinculante, la BOD 22-01, pensada para reducir el riesgo de vulnerabilidades conocidas explotadas. Si una agencia incumple, no la espera una multa: la espera un incidente.
CERT Polska confirmó esta semana que actores de amenazas están explotando de forma activa la vulnerabilidad. Es una inyección de comandos del sistema operativo que permite a un atacante no autenticado ejecutar comandos de shell arbitrarios con los privilegios del usuario zimbra. Dicho más claro: con una petición maliciosa, un adversario puede tomar el control del servidor de correo.
El reloj ya aprieta. Zimbra liberó la versión 10.1.20 el 20 de julio de 2026 para corregir el fallo y la confirmación de explotación activa llegó 28 días después. No es un colchón amplio: son cuatro semanas justas. Y se agotaron.
Anatomía del fallo: una inyección de comandos en el monitor SNMP
La raíz técnica está en el componente de monitoreo SNMP. La inyección se materializa cuando el servicio de trampas SNMP está habilitado mediante el parámetro snmp_notify y el servicio swatchdog está corriendo, algo que sucede por defecto en la mayoría de las instalaciones. El fallo de sanitización se produce ahí: un payload malicioso viaja como un cambio de estado del servicio y acaba ejecutándose como comando.
La superficie de ataque solo existe si el paquete opcional zimbra-snmp está instalado y las notificaciones SNMP están activas. Pero swatchdog, el proceso que recibe esas notificaciones, corre por defecto. Ese matiz no tranquiliza a nadie. Las recomendaciones de CERT Polska son quirúrgicas: revisar logs, archivos, directorios, y procesos.
El parche llegó 28 días antes de la explotación activa; el margen no lo define la bondad del parche, sino la velocidad del servicio que lo aplica.
Dossier Moncloa: Ojos en la Sombra
En términos de inteligencia técnica, el vector de amenaza es un ciberataque contra plataformas de correo corporativo y colaboración. El atacante no necesita credenciales: entra por una petición sin autenticar y escala hasta el usuario zimbra. Le anticipo que el agente atacante es, por ahora, desconocido; CERT Polska no ha atribuido la campaña a ningún grupo APT concreto. Eso dice mucho de la prudencia del oficio: sin telemetría suficiente, la atribución es un salto al vacío.
Zimbra es la alternativa a Microsoft Exchange que eligen muchas administraciones y empresas medianas. En España no es dominante, pero aparece en universidades, ayuntamientos y pequeñas corporaciones en las que el correo sigue siendo un activo sensible. La estimación de nivel de clasificación del material en juego es sin clasificar pero sensible: no se trata de un documento del Pentágono, pero sí de buzones, contactos y comunicaciones internas que no deberían salir del perímetro corporativo.
El precedente lo pone ProxyLogon, aquella cadena de fallos de Exchange de 2021 que CISA también metió en el catálogo KEV. Entonces, actores como Hafnium explotaron en cascada decenas de miles de servidores en cuestión de días. Zimbra no tiene la misma cuota de mercado que Exchange, pero la mecánica es idéntica: el parche llega, la notificación se publica y el adversario se lanza antes de que los administradores hayan terminado el café.
El CNI y el CCN-CERT monitorizan este tipo de alertas desde hace años. No espero, en este caso, una nota urgente del CCN-CERT para infraestructuras críticas porque el vector afecta sobre todo a plataformas de correo corporativo, no a sistemas industriales. Aun así, si usted tiene buzones corporativos en Zimbra, hoy toca mirar logs y directorios. Las entradas Service status change y los directorios /opt/zimbra/jetty/webapps/ y /tmp/ no mienten.
Lo veo así: esta entrada en el KEV no es la más ruidosa del año, pero sí una de las más didácticas. La explotación activa no empezó por un zero-day desconocido; empezó por un fallo ya parcheado que alguien no aplicó a tiempo. El enemigo rara vez descubre algo nuevo: casi siempre llega por un parche que no se instaló.
El próximo hito a vigilar es el 24 de agosto, cuando venza el plazo impuesto por CISA a las agencias federales. Si usted gestiona un servidor Zimbra, la lista de verificación es corta: revisar logs, rastrear archivos recientes del usuario zimbra y actualizar a la versión 10.1.20. Cosas que pasan en 2026. El plot twist nadie lo vio venir.
