Le 30 septembre 2026, Microsoft a publié une analyse de l’exploitation de CVE-2026-73570 sur des serveurs Zimbra exposés à Internet. Cette injection de commandes par le traitement des notifications SNMP peut être déclenchée sans authentification lorsque le paquet optionnel zimbra-snmp est installé, que les notifications SNMP sont activées et que le service swatchdog fonctionne. CERT Polska signalait une exploitation active le 17 août ; CISA a ajouté la vulnérabilité à son catalogue KEV le 21 août.
Zimbra a livré le correctif dans la version 10.1.20 le 20 juillet 2026, avant la divulgation publique en août. Microsoft décrit des intrusions avec web shells, accès persistant et collecte de données de messagerie. Une tentative de transfert de données a été observée, mais le rapport ne confirme pas que ce transfert a abouti. La version 10.1.21, publiée plus tard, apporte des correctifs supplémentaires distincts.
Ce que permet CVE-2026-73570
Un courriel SMTP spécialement construit peut atteindre le traitement des notifications SNMP de Zimbra. Si zimbra-snmp est installé, les notifications activées et swatchdog en fonctionnement, une entrée contrôlée par l’attaquant peut être interprétée comme une commande par le mécanisme de surveillance, puis s’exécuter avec les privilèges du compte système zimbra.
La faille ne signifie donc pas que tous les serveurs Zimbra sont exposés de la même façon. Il faut vérifier à la fois la version, la présence du paquet optionnel et la configuration des notifications SNMP.
Ce que Microsoft a observé
Microsoft rapporte des commandes de reconnaissance avant la divulgation publique, puis des intrusions confirmées. Sur les serveurs étudiés, les attaquants ont installé des web shells JSP et des accès persistants, tenté une élévation de privilèges et collecté des données liées aux boîtes mail.
Dans un cas, les attaquants ont archivé des données de sauvegarde de boîtes puis tenté de les transférer vers un stockage cloud. Microsoft précise que les éléments observés ne permettent pas de confirmer la réussite de ce transfert. Ne confondez pas l’activité constatée sur certains hôtes avec une compromission systématique de chaque installation.
Quelle version installer
La version 10.1.20 corrige CVE-2026-73570 ; toute version antérieure doit être considérée vulnérable si les prérequis de configuration sont réunis. Zimbra a ensuite publié la version 10.1.21, qui corrige d’autres problèmes de sécurité. Suivez les instructions officielles correspondant à votre branche et confirmez la version sur chaque nœud après la mise à jour.
Si l’installation ne peut pas être mise à jour immédiatement, CERT Polska recommande de vérifier la configuration SNMP et de rechercher des signes d’exploitation ; les mesures temporaires ne remplacent pas l’application du correctif.
Traces à rechercher
Préservez les journaux avant tout nettoyage. CERT Polska signale des entrées anormales de changement d’état de service dans /var/log/zimbra.log. Microsoft recommande aussi de rechercher les JSP inattendus et les changements de permissions dans les répertoires d’applications, notamment /opt/zimbra/jetty/webapps/ et /opt/zimbra/jetty_base/webapps/, ainsi que les tâches ou services système inconnus.
Un correctif bloque l’exploitation connue, mais ne supprime pas une persistance déjà installée. Si des indices apparaissent, isolez le serveur selon votre procédure d’incident et faites examiner les traces avant de supprimer des fichiers ou de reconstruire le système.
Comptes et secrets après l’enquête
Si une compromission est confirmée ou ne peut pas être écartée, recensez les comptes, secrets d’authentification, clés de service et données auxquels les processus Zimbra pouvaient accéder. Microsoft rapporte notamment la collecte d’identifiants locaux et de données de messagerie. Organisez leur révocation ou leur remplacement après préservation des preuves, puis vérifiez les systèmes qui utilisent ces secrets.
Pour réduire les copies dispersées pendant cette opération, consultez le guide de partage des mots de passe en équipe.
Le lien avec Soclyde
Soclyde ne corrige pas Zimbra et ne détecte pas une intrusion sur le serveur. Il peut aider à conserver les accès d’administration, de relais et de sauvegarde dans un coffre chiffré local-first, avec des secrets distincts par usage, puis à organiser leur partage autorisé.
Cette organisation facilite la rotation après l’analyse sans remplacer le correctif, les journaux ou la réponse à incident. Pour générer des mots de passe de remplacement, consultez le guide du générateur sécurisé ; le guide d’audit d’un gestionnaire de mots de passe aide à structurer l’examen des accès.
À retenir
CVE-2026-73570 est corrigée depuis Zimbra 10.1.20, sous réserve d’appliquer le correctif à chaque nœud. Mettez à jour, recherchez les signes de persistance et évaluez les secrets accessibles à un serveur compromis. La version 10.1.21 corrige aussi des vulnérabilités ultérieures. Pour une question sur Soclyde, contactez l’équipe.
