Des attaquants exploitent une faille critique de Zimbra pour voler des emails

Microsoft a émis un avertissement urgent concernant une vulnérabilité de sécurité critique dans la suite Zimbra Collaboration, actuellement exploitée par des acteurs malveillants pour exfiltrer des sauvegardes d'emails et des identifiants d'authentification. La faille, officiellement suivie sous le nom CVE-2026-73570, permet à des attaquants distants non authentifiés d'exécuter des commandes arbitraires du système d'exploitation sur des serveurs vulnérables. Cette brèche de sécurité constitue une menace importante pour les organisations dépendant de Zimbra pour leurs communications internes, car les attaquants ciblent activement le chemin de notification SNMP pour obtenir un accès non autorisé à des données privées.

Selon les données fournies par la Shadowserver Foundation, au moins 274 instances distinctes de la suite Zimbra Collaboration ont été confirmées comme compromises. Bien que le mainteneur, Synacor, ait publié un correctif le 20 juillet, la vulnérabilité est restée non divulguée pendant plus de trois semaines, laissant de nombreux systèmes exposés. Microsoft a rapporté qu'entre le 28 juillet et le 7 août, ils ont observé deux outils de scan sophistiqués sondant Internet à la recherche de points de terminaison vulnérables. Microsoft a déclaré : « Après une exploitation réussie, l'activité observée comprenait le déploiement de web shells JSP et de reverse shells, l'élévation de privilèges, des outils d'accès à distance persistants et une exécution basée sur la mémoire. »

Zimbra Collaboration Suite est une plateforme d'email et de collaboration de niveau entreprise, souvent privilégiée par les organisations pour ses racines open-source et son vaste ensemble de fonctionnalités. La vulnérabilité cible spécifiquement le paquet zimbra-snmp, qui doit être installé et activé pour que l'exploit fonctionne. Historiquement, Zimbra a fait l'objet d'un examen minutieux concernant sa posture de sécurité, et cet incident souligne les défis continus du maintien de logiciels serveur complexes dans un environnement où des outils de scan automatisés peuvent identifier et exploiter des systèmes non corrigés quelques heures après la découverte d'une vulnérabilité.

Les ramifications de cet exploit sont étendues, affectant des organisations dans plusieurs régions et divers secteurs industriels. En obtenant des capacités d'injection de commandes, les attaquants ont accédé avec succès à des archives d'emails et collecté des données d'authentification critiques, facilitant le mouvement latéral au sein des réseaux compromis. L'utilisation à la fois de la livraison automatisée de charges utiles et d'opérations manuelles suggère un haut niveau de sophistication parmi les acteurs de la menace impliqués. Les organisations qui n'ont pas encore appliqué le correctif du 20 juillet courent un risque immédiat de vol de données, de prise de contrôle du système et de persistance à long terme par ces entités malveillantes.

À l'avenir, les experts en cybersécurité soulignent la nécessité d'une gestion rapide des correctifs et de la mise en œuvre d'une surveillance robuste pour détecter les schémas de trafic anormaux. Le fait que les attaquants aient pu valider leurs exploits en utilisant des vérifications DNS et ICMP avant de déployer des charges utiles malveillantes souligne la nécessité d'une recherche proactive des menaces. Alors que le nombre d'instances vulnérables fluctue, les administrateurs doivent donner la priorité à la désactivation des services inutiles comme SNMP s'ils ne sont pas strictement nécessaires. La sécurité future dépendra de la capacité des fournisseurs à équilibrer les délais de divulgation avec le besoin urgent de protection des utilisateurs dans un paysage numérique de plus en plus hostile.