Exploitation active d’une faille critique dans Zimbra : des milliers de serveurs en danger
L’agence nationale polonaise de cybersécurité a confirmé que des attaquants exploitent activement une faille critique d’exécution de code à distance non authentifiée dans Zimbra Collaboration Suite. Identifiée sous le nom de CVE-2026-73570, cette vulnérabilité a été corrigée le 20 juillet, mais les cybercriminels l’ont déjà weaponisée — laissant des milliers de serveurs vulnérables s’ils ne sont pas mis à jour.
Une fenêtre de correction étroite, une surface d’attaque étendue
La CVE-2026-73570 provient d’un manque de nettoyage des entrées dans le composant de surveillance SNMP de Zimbra. Elle permet aux attaquants d’exécuter des commandes shell arbitraires avec les privilèges de l’utilisateur zimbra, mais uniquement si le paquet optionnel zimbra-snmp est installé et que les notifications SNMP par trappe sont activées. Même dans ce cas, le service swatchdog — activé par défaut — traite ces notifications, créant une voie d’attaque exploitable. Zimbra a publié la version 10.1.20 pour résoudre le problème, mais l’écart de 28 jours entre le correctif et l’exploitation active montre à quelle vitesse les attaquants agissent.
Comment détecter une attaque en cours
Le CERT Polska a publié des indicateurs de compromission et recommande d’examiner les journaux Zimbra à la recherche de signes révélateurs. Les administrateurs doivent analyser le fichier /var/log/zimbra.log pour repérer des entrées où l’état d’un service passe de arrêté à en cours d’exécution puis inversement — suggérant qu’une charge utile malveillante est activée et désactivée. Ils doivent également rechercher les fichiers créés par l’utilisateur zimbra au cours des 30 derniers jours dans /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ ou /tmp/, qui pourraient indiquer la présence de web shells persistants.
Un paysage de systèmes exposés
Shadowserver recense actuellement plus de 12 100 serveurs Zimbra accessibles depuis Internet, principalement en Europe et en Asie. Bien que ce chiffre inclue des pots de miel et des systèmes déjà corrigés, ce volume souligne l’ampleur des risques potentiels.
Pourquoi cela compte
Il ne s’agit pas d’une vulnérabilité comme les autres : c’est une course contre la montre pour les organisations utilisant Zimbra. L’exploitation active confirme que le simple correctif ne suffit pas ; les défenseurs doivent rechercher activement des signes de compromission et supprimer les accès non autorisés. Avec des milliers de serveurs encore potentiellement exposés, la fenêtre pour prévenir les intrusions se referme rapidement.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.