Vulnerabilidad crítica en Zimbra: 274 servidores hackeados

Vulnerabilidad crítica en Zimbra: al menos 274 servidores expuestos a internet fueron comprometidos a través de CVE-2026-73570. Además, el ataque solo requiere enviar un correo especialmente construido. De hecho, el parche existe desde julio de 2026. En consecuencia, miles de instalaciones siguen expuestas por no actualizar.

Vulnerabilidad crítica en Zimbra: un correo basta

La vulnerabilidad crítica en Zimbra es una inyección de comandos del sistema operativo sin autenticación, con CVSS 8.9, que termina en ejecución remota de código. Por su parte, solo queda expuesto el servidor que tiene habilitadas las notificaciones SNMP y el paquete opcional zimbra-snmp. Es decir, basta una petición SMTP contra un servidor publicado.

Además, CERT Polska reportó la explotación activa en agosto de 2026. Tras entrar, los atacantes desplegaron web shells en JSP, escalaron privilegios e instalaron herramientas de acceso remoto persistente. Asimismo, leyeron correo y recolectaron datos de autenticación y de buzones antes de sacarlos del servidor. No obstante, Zimbra ya lo corrigió en julio con la versión 10.1.20, y más de 8,200 instancias siguen sin actualizar.

FortiMail, otro zero-day con fecha límite de CISA

Por otro lado, Fortinet confirmó la explotación como zero-day de CVE-2026-104286 en FortiMail, con CVSS 9.8. La falla combina un path traversal con una mala neutralización de bytes nulos. En la práctica, permite a un atacante sin autenticar escribir archivos arbitrarios mediante peticiones HTTP o HTTPS.

En este sentido, las versiones afectadas van de la 7.2.0 a la 8.0.1 y las correcciones llegan en 7.4.9, 7.6.7 y 8.0.2. Además, CISA ordenó a las agencias federales completar el triaje forense y la mitigación antes del 4 de octubre de 2026. Mientras tanto, Fortinet recomienda deshabilitar la función IBE y limitar la interfaz de administración a redes de confianza.

Qué hacer ante la vulnerabilidad crítica en Zimbra

Por lo tanto, el patrón es claro: el correo sigue siendo la puerta preferida y el parcheo llega tarde.

• Actualizar ya: Zimbra 10.1.20 o superior y las versiones corregidas de FortiMail.
• Apagar lo que no usas: el paquete zimbra-snmp y la función IBE son superficie gratuita.
• Asumir compromiso: busca web shells en JSP y rota credenciales y claves de buzones.
• Cerrar la administración: la interfaz de gestión no debería mirar a internet.

Finalmente, si tu servidor expuesto no se actualizó desde julio, la vulnerabilidad crítica en Zimbra dejó de ser un riesgo teórico. Toca revisar antes de parchear.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: Help Net Security, The Hacker News, BleepingComputer.