Los atacantes explotan una vulnerabilidad de Zimbra para desplegar shells web y robar secretos de autenticación.

Según los hallazgos del equipo de Investigación de Seguridad de Microsoft, ciberdelincuentes han explotado una vulnerabilidad de seguridad, ya corregida, en Zimbra Collaboration Suite (ZCS) para desplegar shells web y acceder a los datos de los buzones de correo.

El ataque explota la vulnerabilidad CVE-2026-73570 (puntuación CVSS: 8.9), una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación que puede conducir a la ejecución remota de código cuando las notificaciones del Protocolo simple de administración de red (SNMP) están habilitadas y el paquete opcional zimbra-snmp está instalado.

La explotación de CVE-2026-73570 puede activarse mediante una solicitud SMTP (es decir, un correo electrónico) especialmente diseñada contra servidores Zimbra expuestos, sin necesidad de autenticación ni interacción del usuario. Zimbra corrigió la vulnerabilidad en julio de 2026 con el lanzamiento de la versión 10.1.20.

Tras la explotación exitosa, se observó actividad que incluyó el despliegue de shells web JSP y shells inversas, escalada de privilegios, herramientas de acceso remoto persistente y ejecución con respaldo de memoria, según informó el gigante tecnológico. Los atacantes también accedieron al correo electrónico y recopilaron datos de autenticación y buzones, observándose la creación de archivos y la posterior transferencia de datos.

Microsoft indicó que detectó organizaciones afectadas en más de una región y sector, aunque no todos los equipos presentaron todas las etapas de la cadena de ataque. Actualmente se desconoce quién está detrás de los ataques.