Les serveurs e-mail Zimbra visés par l’exploitation très active d’une faille critique

Une faille de sécurité critique, nommée CVE-2026-73570, a été identifiée dans le logiciel de messagerie Zimbra Collaboration Suite (ZCS), utilisé par de nombreuses entreprises pour gérer leurs e-mails et calendriers. Cette faille, classée comme une « injection de commandes système non authentifiée », permet à un attaquant d’exécuter des instructions malveillantes sur un serveur sans avoir besoin de se connecter. Son niveau de criticité est élevé, avec un score de 8,9/10 sur l’échelle CVSS (Common Vulnerability Scoring System), qui évalue la gravité des failles. Cette vulnérabilité concerne toutes les versions de Zimbra antérieures à la 10.1.20, publiée en juillet 2026. Microsoft Threat Intelligence, qui a analysé cette faille, indique que son exploitation a débuté dès fin juillet 2026, soit avant même que le public ne soit informé officiellement le 13 août 2026.

L’exploitation de cette faille repose sur une fonctionnalité optionnelle de Zimbra appelée zimbra-snmp, qui permet de gérer les notifications liées au protocole SNMP (Simple Network Management Protocol), utilisé pour surveiller les équipements réseau. Si cette option est activée, un pirate peut envoyer des requêtes SMTP (Simple Mail Transfer Protocol) spécialement conçues pour provoquer une erreur dans le système. Cette erreur permet ensuite d’injecter des commandes arbitraires, exécutées avec les droits de l’utilisateur zimbra, un compte système dédié à Zimbra. Les attaquants ont utilisé des outils comme curl, wget ou ping pour scanner les serveurs vulnérables et vérifier leur exposition. Ils ont également exploité des services comme oast.fun ou requestrepo.com pour recevoir des données volées ou confirmer la compromission des machines.

Une fois le serveur compromis, les attaquants ont déployé des webshells, des pages malveillantes écrites en JSP (JavaServer Pages), un langage utilisé pour créer des applications web dynamiques. Ces pages, installées dans les répertoires Jetty et mailboxd de Zimbra, leur donnaient un accès distant au serveur. Les pirates ont parfois modifié temporairement les droits d’accès pour faciliter leurs actions avant de les rétablir. Ils ont également créé un service systemd (un gestionnaire de services Linux) nommé zimlog.service, renommé pour imiter un service légitime comme sshd.service, afin de masquer leur présence. Pour exécuter des commandes avec des privilèges élevés, ils ont remplacé le fichier zmmailboxd.out par un lien symbolique pointant vers /etc/pam.d/sudo, un fichier système critique pour l’authentification.

Les conséquences de cette attaque sont graves : les pirates ont pu voler des secrets (mots de passe, clés cryptographiques), se déplacer latéralement dans les infrastructures compromises pour atteindre d’autres machines, et exfiltrer des données sensibles. Microsoft rapporte avoir observé des attaques sur plusieurs centaines de serveurs dans le monde, touchant des organisations de secteurs variés et de régions différentes. L’activité des attaquants mêlait des opérations automatisées, comme des scans massifs, et des interventions manuelles pour maximiser l’impact. L’éditeur n’a pas attribué ces attaques à un groupe spécifique, mais souligne que la campagne a été menée avec une grande précision, suggérant une préparation approfondie.