Microsoft alerta sobre explotación activa de CVE-2026-73570 en servidores Zimbra

1 de octubre de 2026 · Por Erick Marin

Qué pasó

Microsoft Threat Intelligence publicó un análisis detallado sobre la explotación activa de CVE-2026-73570, una vulnerabilidad de inyección de comandos no autenticada que afecta a servidores de correo Zimbra expuestos a internet. El equipo de Microsoft documentó las rutas de ataque observadas en el mundo real, lo que confirma que actores maliciosos ya están aprovechando esta falla para comprometer infraestructura de correo corporativa.

Según el reporte, la vulnerabilidad permite a atacantes ejecutar comandos arbitrarios en el servidor sin necesidad de credenciales válidas, lo que la convierte en un vector de alto riesgo para cualquier organización que exponga Zimbra directamente a internet. Microsoft compartió oportunidades de detección y guías de mitigación para ayudar a los defensores a identificar y contener la amenaza.

Aunque el artículo no detalla IOCs específicos de forma textual, sí enfatiza que la explotación está en curso, lo que eleva la urgencia para los equipos de seguridad que administran este tipo de infraestructura.

Qué significa para empresas en LatAm

Zimbra es una plataforma de correo ampliamente utilizada por gobiernos, pymes y empresas medianas en América Latina debido a su costo accesible frente a alternativas comerciales. Una explotación exitosa de esta vulnerabilidad podría derivar en robo de correos corporativos, movimiento lateral dentro de la red y despliegue de ransomware, dado que los servidores de correo suelen tener alto nivel de confianza y acceso a datos sensibles.

La naturaleza no autenticada del ataque significa que cualquier servidor Zimbra expuesto sin parchear es un blanco inmediato, sin requerir ingeniería social ni credenciales robadas previamente.

Qué hacer ahora

1. Verificar inmediatamente la versión de Zimbra en uso y aplicar el parche oficial correspondiente a CVE-2026-73570 en cuanto esté disponible.
2. Revisar logs de acceso y actividad del servidor de correo en busca de comandos o procesos anómalos ejecutados por el servicio Zimbra.
3. Restringir el acceso a la interfaz de administración de Zimbra únicamente a redes internas o mediante VPN.
4. Implementar reglas de detección en el WAF o IDS/IPS basadas en las indicaciones de Microsoft para identificar intentos de explotación.
5. Si no es posible parchear de inmediato, considerar aislar temporalmente el servidor de internet hasta aplicar la corrección.