La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ha alertado sobre una vulnerabilidad de día cero en Zimbra Collaboration Suite (ZCS) que está siendo aprovechada en ataques dirigidos. El fallo, registrado como CVE-2025-27915, afecta a las versiones 10.1.9, 10.0.15 y 9.0.0 Patch 46 de la plataforma.
El origen de la vulnerabilidad está en el cliente web clásico de Zimbra, donde los archivos de calendario ICS no son procesados de forma segura. Esto abre la puerta a que un atacante inserte código JavaScript en una invitación maliciosa y consiga su ejecución automática cuando el usuario simplemente abre el mensaje. El ataque se basa en un evento ontoggle de la etiqueta <details>, una función legítima del navegador que, en este caso, se transforma en un vector para ejecutar código dentro de la sesión autenticada de la víctima.
El impacto es significativo: con acceso al contexto del usuario, el atacante puede realizar acciones no autorizadas, como configurar filtros de correo que redirigen mensajes a direcciones externas, lo que facilita la fuga de información y el espionaje constante sobre las comunicaciones internas. Aunque la calificación CVSS es de 5.4 (medio), la sencillez del ataque lo convierte en un riesgo de alto perfil.
La CISA ha establecido el 28 de octubre de 2025 como fecha límite de corrección obligatoria para agencias federales. Mientras tanto, se recomienda aplicar las mitigaciones que publique el fabricante, reforzar las defensas en servidores de correo contra archivos ICS y capacitar a los usuarios para identificar invitaciones sospechosas.
La explotación activa y el bajo nivel de interacción requerido hacen de esta vulnerabilidad una amenaza seria que requiere atención inmediata por parte de los responsables de seguridad y operaciones.
Más información:
- https://cybersecuritynews.com/cisa-zimbra-collaboration-suite-xss-zero-day/
- https://nvd.nist.gov/vuln/detail/CVE-2025-27915
- https://gbhackers.com/cisa-alerts-on-zimbra-collaboration-suite-zero-day-xss-flaw/
La entrada Una vulnerabilidad Zero-Day pone en riesgo a Zimbra: CVE-2025-27915 se publicó primero en Una Al Día.
