Plus de 270 serveurs Zimbra compromis par la faille CVE-2026-73570.

274 serveurs Zimbra compromis via la faille CVE-2026-73570

274 serveurs Zimbra exposés sur le Web portent les traces d’une compromission à l’aide d’une nouvelle faille de sécurité : CVE-2026-73570. Si vous n’avez pas encore patché votre serveur, il est temps d’agir. Voici l’essentiel à savoir.

Une injection de commandes qui passe par SNMP

Le 17 août 2026, l’équipe du CERT polonais a publié un communiqué pour évoquer l’exploitation active d’une faille de sécurité dans Zimbra Collaboration Suite. Dans son bulletin, elle fait référence à la CVE-2026-73570, une vulnérabilité permettant une exécution de commande au niveau du système d’exploitation.

Bien que cette faille ait été corrigée le 20 juillet 2026, des analyses de The Shadowserver montrent qu’elle est toujours exploitée par des cybercriminels. En effet, le 20 août 2026, The Shadowserver recensait 155 instances compromises. 48 heures plus tard, ce chiffre a grimpé à 274, avec les États-Unis en tête de liste. La carte publiée par The Shadowserver met également en évidence la compromission de 21 serveurs de messagerie Zimbra en France. À cette même date, plus de 8 000 instances restaient vulnérables.

Conditions d’exploitation

Tous les serveurs Zimbra exposés sur le Web ne sont pas vulnérables. Cette vulnérabilité se situe dans le composant SNMP de Zimbra, nécessitant trois conditions pour être exploitée :

1. Le paquet optionnel zimbra-snmp doit être installé sur le serveur.
2. Les notifications SNMP doivent être activées via le paramètre snmp_notify.
3. Le service swatchdog, qui traite ces notifications, doit être en cours d’exécution.

Comment se protéger ?

Le bulletin publié par Zimbra le 20 juillet accompagne la sortie de Zimbra Collaboration Suite 10.1.20, qui contient un correctif définitif pour la CVE-2026-73570. Avant cela, un bulletin de sécurité daté du 26 juin 2026 évoquait une me de protection temporaire.

Pour se protéger, il est impératif d’installer au minimum cette version. Cependant, patcher ne suffit pas si un attaquant a déjà compromis le serveur. Le CERT polonais recommande deux vérifications :

1. Dans /var/log/zimbra.log, rechercher des entrées indiquant des changements de statut de service.
2. Vérifier les fichiers créés au cours des 30 derniers jours par l’utilisateur zimbra dans les répertoires pertinents.

D’autres agences ont également pris des mes, comme la CISA qui a ajouté la vulnérabilité à son catalogue KEV le 21 août 2026. En France, le CERT-FR a publié un avis le 19 août, couvrant l’ensemble des vulnérabilités corrigées dans la version 10.1.20.

Source : CERT polonais, The Shadowserver