Más de 10,000 servidores Zimbra vulnerables a ataques XSS en curso

-

Más de 10,000 instancias de Zimbra Collaboration Suite están expuestas a ataques activos que explotan una vulnerabilidad de scripting entre sitios (XSS). La CISA ya incluyó el fallo CVE-2025-48700 en su catálogo de vulnerabilidades explotadas conocidas debido a su uso en campañas de phishing y robo de información.

Más de 10,000 instancias de Zimbra Collaboration Suite (ZCS) están expuestas a ataques que explotan la vulnerabilidad CVE-2025-48700. Este fallo de scripting entre sitios (XSS) permite a atacantes no autenticados ejecutar JavaScript arbitrario en la sesión de un usuario para acceder a información sensible. La organización Shadowserver identificó que la mayoría de estos servidores sin parchear se concentran en Asia y Europa.

Detalles técnicos y exposición de datos

La vulnerabilidad CVE-2025-48700 afecta a las versiones de Zimbra 8.8.15, 9.0, 10.0 y 10.1. El ataque no requiere interacción del usuario; se activa cuando un usuario visualiza un correo electrónico maliciosamente diseñado en la interfaz clásica de Zimbra. Debido a su impacto, la CISA incluyó el fallo en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) y ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) asegurar sus servidores en un plazo de tres días tras la alerta.

Historial de explotación por actores de amenazas

Zimbra ha sido un objetivo recurrente para grupos de ciberespionaje. El grupo APT28 (también conocido como Fancy Bear o Strontium) utilizó la vulnerabilidad CVE-2025-66376 en campañas de phishing contra entidades gubernamentales ucranianas desde enero. En otra ocasión, el grupo Winter Vivern utilizó un exploit XSS reflejado en febrero de 2023 para comprometer portales de webmail y robar correos de personal militar y diplomático. Además, en octubre de 2024, el grupo APT29 (Cozy Bear o Midnight Blizzard) fue detectado explotando vulnerabilidades en servidores Zimbra a gran escala para robar credenciales de cuentas de correo.

Por qué importa y qué hacer

El uso de Zimbra por parte de gobiernos y empresas lo convierte en un objetivo de alto valor para actores de amenazas que buscan información sensible. La facilidad con la que el ataque XSS se ejecuta sin interacción del usuario facilita el robo de credenciales y la interceptación de comunicaciones en organizaciones que no han actualizado sus plataformas de colaboración.

  • Actualice Zimbra Collaboration Suite a la versión más reciente que incluya el parche de junio de 2025.
  • Desactive el uso de la interfaz clásica de Zimbra si no es estrictamente necesaria.
  • Monitoree los registros de acceso en busca de intentos de ejecución de scripts no autorizados.
  • Revise la configuración de seguridad de los servidores de correo para bloquear scripts externos no verificados.

Relacionado:
Atacantes explotan vulnerabilidad crítica en Drupal Commerce Core
Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls
CISA advierte sobre la explotación de la vulnerabilidad Node2Shell

Fuente:
https://www.bleepingcomputer.com/news/security/cisa-says-zimbra-flaw-now-exploited-over-10k-servers-vulnerable/

Nota elaborada por Ciberseguridad en español a partir de información publicada por Bleeping Computer. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.

Comentarios

Publicar un comentario

Entradas más populares de este blog

ANCI investiga presunta filtración masiva de datos que afectaría a la Tesorería General de la República, al Registro Civil y a la ClaveÚnica

-
Santiago, 2 de mayo de 2026. — La Agencia Nacional de Ciberseguridad (ANCI) confirmó que se encuentra analizando reportes de una presunta actividad maliciosa que comprometería sistemas de organismos del Estado y operadores de telecomunicaciones en Chile, luego de que la firma de inteligencia cibernética VECERT Analyzer alertara públicamente sobre una brecha de alto impacto dirigida contra la Tesorería General de la República (TGR), el Registro Civil y servicios asociados a la ClaveÚnica. El actor de amenaza identificado bajo el alias "rutify" habría difundido en grupos especializados de Telegram registros que sugieren la filtración de datos sensibles durante las últimas 48 horas, según la alerta original publicada por VECERT en su cuenta oficial de X. Qué denuncia el reporte de VECERT De acuerdo con el análisis técnico difundido por la firma, las muestras filtradas corresponderían a solicitud...
Leer más

Atacantes calientan refrigeradores de supermercados franceses hasta 50°C

-
Imagen
Un ciberataque contra controladores de refrigeración de la empresa Danfoss afectó a cientos de supermercados en Francia, elevando la temperatura de los equipos hasta los 50°C. El incidente provocó la pérdida masiva de alimentos y activó alertas de seguridad por el uso de dispositivos con firmware desactualizado expuestos a internet. Durante la noche del 11 de octubre, actores de amenazas tomaron el control de sistemas de refrigeración en cientos de supermercados franceses. El ataque afectó específicamente a controladores de la empresa Danfoss, los cuales fueron manipulados para activar el modo de descongelación y elevar la temperatura de los productos hasta los 50°C. La cadena Intermarché, por ejemplo, reportó la pérdida de inventarios debido a este incidente. Dispositivos afectados y vulnerabilidades El ataque impactó a dos series de controladores antiguos: el AK-SM 800 y el AK-SC 355. Danfoss confirmó que el AK-SM 800 finalizó su vida útil en mayo de 2021 y el AK-SC 355 fue reti...
Leer más

Phishing-como-un-Servicio se Vuelve Más Inteligente: Microsoft Alerta sobre Ataques AiTM

-
Imagen
Microsoft advirtió que crecen las plataformas de phishing como servicio con técnicas de adversario en el medio (AiTM), capaces de eludir la MFA robando cookies de sesión. Servicios ya existentes como PerSwaysion también incorporaron estas capacidades. El equipo de Inteligencia de Amenazas de Microsoft alertó, en una serie de publicaciones en X, sobre el aumento de los kits de phishing de adversario en el medio (AiTM) que se ofrecen dentro del modelo de phishing como servicio (PhaaS). Además de que aparecen plataformas nuevas con esta capacidad, servicios ya establecidos, como PerSwaysion, la están agregando. El resultado, según Microsoft, es que los atacantes pueden montar campañas a gran escala orientadas a saltarse la autenticación multifactor. Dos formas de ponerse en el medio Los kits AiTM funcionan de dos maneras. La primera usa un servidor proxy inverso: la página de phishing hace de intermediaria entre la víctima y el sitio legítimo, reenvía el tráfico en ambas direcciones ...
Leer más