L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ordonné aux agences civiles fédérales relevant du pouvoir exécutif américain de mettre à jour les systèmes Zimbra Collaboration Suite (ZCS) dans un délai de trois jours, après la confirmation de l’exploitation d’une vulnérabilité de sécurité dans des attaques réelles et son inscription au catalogue des vulnérabilités exploitées connues (KEV).
La vulnérabilité, identifiée sous le numéro CVE-2026-73570, permet à un attaquant non authentifié d’exécuter des commandes à distance en exploitant une faille d’injection de commandes dans le composant de surveillance SNMP, lorsque les notifications SNMP sont activées sur le serveur ciblé. Selon l’équipe de Zimbra, le problème résulte d’une absence de filtrage des entrées non fiables lors du traitement des notifications SNMP, ce qui permet d’envoyer des requêtes SMTP spécialement conçues pouvant entraîner l’exécution de commandes du système d’exploitation avec les privilèges de l’utilisateur zimbra.
La version qui corrige le problème
L’équipe de Zimbra a corrigé la faille dans la version 10.1.20, publiée le 20 juillet. La mesure requise ne se limite donc pas à la surveillance des activités suspectes ; les entités qui exécutent encore une version vulnérable doivent passer à la version corrigée conformément à leur calendrier de sécurité urgent, en donnant la priorité aux serveurs exposés sur Internet.
L’intervention de la CISA est intervenue après que l’équipe polonaise de réponse aux incidents informatiques CERT Polska a signalé l’exploitation de la vulnérabilité dans la nature. Lundi, la société Shadowserver a déclaré avoir détecté plus de 270 instances Zimbra compromises lors de recherches d’indices d’exploitation de CVE-2026-73570, tandis qu’elle surveille plus de 12 000 serveurs Zimbra exposés sur Internet. Les données disponibles ne précisent pas combien de ces serveurs sont des systèmes leurres ou ont déjà été sécurisés.
Que faut-il vérifier concrètement ?
La CISA n’a pas publié de détails sur les attaques en cours, mais CERT Polska a demandé aux équipes de sécurité d’examiner les journaux à la recherche d’indicateurs, notamment le redémarrage inattendu du service Zimbra ou la création, au cours des 30 derniers jours, de fichiers par l’utilisateur zimbra dans les répertoires suivants :
- /opt/zimbra/jetty/webapps/
- /opt/zimbra/jetty_base/webapps/
- /tmp/
Pourquoi cette information est-elle importante ?
L’importance de la vulnérabilité tient à la combinaison de trois facteurs : l’absence de besoin d’authentification, la possibilité d’exécuter des commandes sur le serveur et l’existence d’une exploitation réelle. Le risque est encore plus direct pour les organisations qui utilisent ZCS pour la messagerie et la collaboration et qui exposent ses interfaces ou ses composants sur Internet, car la compromission d’un serveur de messagerie peut donner à l’attaquant un point d’accès aux correspondances et aux données sensibles, selon le niveau de privilèges et les contrôles entourant le système.
Cette alerte s’inscrit également dans une tendance récurrente de ciblage de Zimbra. En mars, des chercheurs de Seqrite Labs ont signalé l’exploitation par le groupe APT28 d’une vulnérabilité XSS stockée contre des serveurs ZCS gouvernementaux ukrainiens, tandis que des autorités américaines et britanniques ont averti en octobre 2024 qu’APT29 ciblait des serveurs Zimbra au moyen d’une faille déjà utilisée pour voler des identifiants de messagerie. Une vulnérabilité XSS réfléchie avait également été utilisée auparavant pour voler des messages appartenant à des individus et à des organisations liées à l’Organisation du traité de l’Atlantique nord.
La conclusion pratique à tirer des données disponibles est claire : il faut installer immédiatement la version 10.1.20 ou le correctif approprié, puis examiner les journaux et les fichiers à la recherche d’indices de compromission. Toutefois, la source ne précise ni l’ampleur de la campagne, ni l’identité des attaquants, ni si la version corrigée couvre toutes les branches de ZCS ; ces points devront faire l’objet d’un suivi de la part de Zimbra et des équipes de réponse aux incidents.