Zimbra sous attaque : injection de commandes exploitée activement, la CISA impose le correctif

Une faille critique intègre le catalogue KEV avec une échéance immédiate

Le 21 août, la CISA a ajouté la CVE-2026-73570 au catalogue Known Exploited Vulnerabilities (KEV). Il s'agit d'une vulnérabilité d'injection de commandes dans le composant de gestion des notifications SNMP de Zimbra Collaboration Suite (ZCS). La date limite pour les agences fédérales américaines est fixée trois jours plus tard : le 24 août.

La CVE a été publiée par le NVD le 13 août et modifiée pour la dernière fois le 24 août. Le score CVSS v3.1 attribué par le CNA MITRE est de 8,9, classé HIGH. Le vecteur est CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L : exploitable à distance, sans privilèges ni interaction utilisateur, avec un impact élevé sur la confidentialité et l'intégrité, et un impact limité sur la disponibilité.

Les versions concernées sont toutes celles antérieures à la 10.1.20. Le correctif a été publié le 20 juillet avec la version 10.1.20. Ceux qui utilisent des versions plus anciennes et exposent ZCS sur Internet doivent mettre à jour immédiatement.

Comment fonctionne l'exploit : requêtes SMTP contre les notifications SNMP

La vulnérabilité concerne une insuffisance de neutralisation des entrées non fiables lors du traitement des notifications SNMP. Un attaquant non authentifié peut envoyer des requêtes SMTP spécialement conçues pour obtenir l'exécution arbitraire de commandes du système d'exploitation avec les privilèges de l'utilisateur zimbra.

Deux conditions sont nécessaires pour que l'attaque réussisse. Le paquet optionnel zimbra-snmp doit être installé et les notifications SNMP doivent être activées. Si l'une de ces deux conditions fait défaut, la faille n'est pas exploitable. Il n'existe toutefois pas de contournement officiel alternatif au correctif : la mesure d'atténuation recommandée est de mettre à jour vers la version corrigée.

La CWE associée est CWE-78, « Improper Neutralization of Special Elements used in an OS Command ». Le score CVSS 8,9 provient du CNA MITRE. Le NVD n'a pas encore fourni sa propre évaluation pour les versions 4.0, 3.x et 2.0. L'ADP de la CISA a également mis à jour la valeur exploitation de none à active le 21 août, confirmant l'exploitation active.

Exposition et compromissions : 12 000 serveurs en ligne, 270 déjà compromis

Selon BleepingComputer, le signalement de l'exploitation active est d'abord venu de CERT Polska la semaine dernière. La CISA a ensuite confirmé et ajouté la CVE au KEV.

Shadowserver surveille actuellement plus de 12 000 serveurs Zimbra exposés sur Internet. La semaine dernière également, il a déclaré avoir identifié plus de 270 instances de Zimbra Collaboration Suite compromises, en recherchant des artefacts d'exploitation de la CVE-2026-73570. On ne sait pas combien de ces serveurs sont des honeypots ou avaient déjà été sécurisés avant la détection.

La CISA n'a pas diffusé de détails sur les attaques en cours. À ce jour, aucune attribution nominative n'a été établie pour l'exploitation actuelle. L'absence d'informations publiques ne réduit pas la gravité : la présence dans le KEV indique que la faille est déjà utilisée par de véritables attaquants.

Zimbra dans le collimateur des groupes étatiques : une histoire récente

Zimbra Collaboration Suite est une plateforme de messagerie et de collaboration très répandue. Selon BleepingComputer, elle est utilisée par des centaines de millions d'organisations et de personnes, dont des centaines d'agences gouvernementales et des milliers d'entreprises. C'est précisément en raison de cette large diffusion que ses serveurs de messagerie sont une cible récurrente pour l'espionnage informatique.

Ces dernières années, plusieurs vulnérabilités de Zimbra ont été exploitées activement pour voler des données sensibles. Selon les chercheurs de Seqrite Labs, le groupe étatique russe APT28 aurait exploité en mars une XSS stockée contre des serveurs ZCS d'agences gouvernementales ukrainiennes. L'année de l'incident n'a pas été précisée par les sources, mais BleepingComputer le rapporte comme un fait récent.

En octobre 2024, les agences de cybersécurité des États-Unis et du Royaume-Uni avaient averti qu'APT29, également connu sous le nom de Midnight Blizzard ou Cozy Bear, ciblait des serveurs Zimbra en exploitant une faille déjà exploitée pour voler des identifiants de messagerie. Le groupe de cyberespionnage russe Winter Vivern a également abusé dans le passé d'une XSS réfléchie pour dérober des courriels d'individus et d'organisations alignés sur l'OTAN via des portails de messagerie web Zimbra.

La nouvelle injection de commandes s'inscrit donc dans une série d'attaques ciblées contre ZCS, souvent menées par des acteurs étatiques ou pro-étatiques.

Que faire : correctif, contrôles forensiques et indicateurs de compromission

La première action consiste à mettre à jour Zimbra Collaboration Suite vers la version 10.1.20 ou ultérieure. Le correctif est disponible depuis le 20 juillet. Pour les services cloud, la CISA demande de suivre les directives de la Binding Operational Directive BOD 26-04 ou de cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

La BOD 26-04 impose aux agences fédérales américaines de donner la priorité à la remédiation des vulnérabilités à haut risque présentes dans le KEV, en particulier sur les actifs exposés publiquement qui, après l'exploit, permettent un contrôle total de l'actif. La directive précise également à quel moment les agences doivent vérifier si les attaquants ont compromis le système avant l'application du correctif. La CISA demande d'effectuer les contrôles prévus par les « Forensics Triage Requirements » pour détecter d'éventuelles compromissions antérieures.

CERT Polska a demandé aux équipes de sécurité de vérifier dans les journaux d'éventuelles activités suspectes. Les indicateurs à rechercher comprennent des redémarrages inattendus du service Zimbra et la création de fichiers dans les dossiers suivants par l'utilisateur zimbra au cours des 30 derniers jours :

• /opt/zimbra/jetty/webapps/
• /opt/zimbra/jetty_base/webapps/
• /tmp/

La présence de fichiers suspects dans ces répertoires peut indiquer qu'un attaquant a déjà téléversé une webshell ou d'autres artefacts. Dans ce cas, le correctif seul ne suffit pas : une analyse forensique complète est nécessaire pour exclure toute persistance et tout déplacement latéral.

Pour les organisations non fédérales, la BOD 26-04 n'est pas contraignante, mais la CISA encourage toutes les entités à adopter une gestion des vulnérabilités fondée sur les risques et à donner la priorité à la remédiation des CVE présentes dans le KEV. L'échéance du 24 août ne concerne que les agences FCEB américaines, mais la présence d'exploits actifs rend la mise à jour urgente pour quiconque expose Zimbra sur Internet.