Les serveurs e-mail Zimbra visés par l’exploitation très active d’une faille critique
L’exploitation active d’une faille critique dans les serveurs e-mail Zimbra, corrigée en juillet mais encore massivement non appliquée, révèle une vulnérabilité structurelle dans la gestion des notifications SNMP. Cette faille, classée à 8,9 sur l’échelle CVSS, illustre comment des correctifs précoces peuvent être contournés par des acteurs malveillants exploitant des fenêtres de vulnérabilité avant même la divulgation publique, posant un défi majeur pour la cybersécurité des infrastructures critiques.
Quelle est la nature exacte de la faille CVE-2026-73570 et comment a-t-elle été exploitée ?
CVE-2026-73570 est une faille d’injection de commandes système non authentifiée affectant Zimbra Collaboration Suite (ZCS) dans toutes les versions antérieures à 10.1.20. Elle cible le traitement des notifications SNMP et permet à un attaquant non authentifié d’exécuter des commandes arbitraires avec les droits de l’utilisateur zimbra en exploitant des requêtes SMTP spécialement conçues, notamment via des pages JSP malveillantes déposées dans les répertoires Jetty et mailboxd.
Quels acteurs sont impliqués dans cette campagne d’exploitation et quel est leur mode opératoire ?
Microsoft Threat Intelligence n’attribue pas explicitement cette activité à un acteur spécifique, mais évoque des opérations automatisées et manuelles ciblant plusieurs régions et secteurs. Les attaquants ont utilisé des outils de balayage dès fin juillet, déposé des webshells JSP, modifié des services système (comme zimlog.service), et exploité des liens symboliques pour élever leurs privilèges, avant de voler des secrets ou de se déplacer latéralement dans les infrastructures.
Pourquoi cette faille reste-t-elle si critique malgré un correctif disponible depuis juillet ?
Le correctif, publié en juillet, n’a pas été appliqué par un nombre significatif de serveurs, permettant une exploitation massive dès fin juillet. Les attaquants ont même analysé le correctif avant sa divulgation publique (13 août), comme en témoignent des requêtes HTTP avec un User-Agent spécifique (ZB73570), suggérant une anticipation des mesures de défense. Cela souligne les risques liés aux mises à jour tardives dans les infrastructures critiques.
Quelles mesures immédiates doivent être prises pour limiter les risques liés à cette faille ?
Microsoft recommande en priorité la mise à jour des instances Zimbra avant fin juillet, ou à défaut la désinstallation du paquet zimbra-snmp, la désactivation des notifications SNMP et la restriction de l’accès SNMP/SMTP aux hôtes de confiance. Après une mise à jour, il est crucial de renouveler les clés zimbraPreAuthKey et zimbraAuthTokenKey, d’inspecter les fichiers de configuration (/etc/sudoers.d/, /etc/pam.d/) et les unités systemd, ainsi que de rechercher des fichiers JSP ou Java inattendus sur tous les nœuds.
Ce que ça pourrait changer
Cette faille met en lumière les défis persistants de la cybersécurité face à des correctifs non appliqués, même pour des vulnérabilités critiques. Elle révèle aussi une sophistication croissante des attaquants, capables d’anticiper les mesures de défense et de contourner les correctifs avant leur divulgation. Pour les organisations, cela souligne l’importance d’une gestion proactive des vulnérabilités et d’une réponse rapide aux alertes, sous peine de voir des infrastructures critiques compromises par des campagnes automatisées et ciblées.
