Directive de la CISA et détails de la vulnérabilité
La Cybersecurity and Infrastructure Security Agency (CISA) a officiellement ordonné aux agences civiles fédérales exécutives des États-Unis de sécuriser leurs systèmes contre une vulnérabilité de sécurité activement exploitée qui affecte Zimbra Collaboration Suite (ZCS). Répertoriée sous l’identifiant CVE-2026-73570, cette faille de sécurité a été corrigée par l’équipe de sécurité de Zimbra dans la version 10.1.20, publiée le 20 juillet. Le problème trouve son origine dans le composant de surveillance SNMP du logiciel de collaboration.
L’exploitation réussie de cette faiblesse permet à des attaquants non authentifiés d’exécuter du code à distance sur les systèmes ciblés. La vulnérabilité apparaît spécifiquement lorsque les notifications SNMP sont activées sur le système ciblé, en raison d’un nettoyage insuffisant des entrées non fiables lors du traitement des notifications SNMP. En envoyant des requêtes SMTP (Simple Mail Transfer Protocol) spécialement conçues, un attaquant non authentifié peut provoquer l’exécution de commandes arbitraires du système d’exploitation avec les privilèges de l’utilisateur Zimbra.
L’équipe de sécurité de Zimbra avait préalablement publié une mise à jour logicielle remédiant à cette faille de sécurité dans la version 10.1.20 le 20 juillet. Cependant, des observations concrètes ultérieures ont confirmé que la vulnérabilité est activement ciblée par des acteurs malveillants dans le cadre de campagnes en cours.
Découverte et exploitation dans le monde réel
L’avertissement de la CISA intervient après que CERT Polska, l’équipe polonaise d’intervention d’urgence informatique, a signalé pour la première fois lundi dernier que la vulnérabilité était ciblée dans la nature. Vendredi, la CISA a confirmé l’alerte de CERT Polska, a ajouté la faille à son catalogue de vulnérabilités connues exploitées (Known Exploited Vulnerabilities) et a ordonné aux agences civiles fédérales exécutives des États-Unis de sécuriser leurs systèmes dans un délai de trois jours, soit d’ici le 24 août.
Des organisations de sécurité indépendantes et des organismes de surveillance des menaces ont surveillé l’exposition généralisée et la compromission potentielle de serveurs exécutant ce logiciel. Alors que l’organisme de surveillance Shadowserver suit plus de 12 000 serveurs Zimbra exposés sur Internet, aucune information n’indique combien d’entre eux sont des pots de miel (honeypots) ou ont déjà été sécurisés contre les attaques exploitant la faille CVE-2026-73570.
Lundi, Shadowserver a également indiqué avoir découvert plus de 270 instances de Zimbra Collaboration Suite compromises lors de la recherche d’artefacts d’exploitation de la CVE-2026-73570. Bien que la CISA n’ait partagé aucune information sur ces attaques en cours, l’équipe du CERT polonais a demandé aux équipes de sécurité de vérifier les journaux d’activité à la recherche d’activités suspectes, telles que le redémarrage inattendu du service Zimbra, ainsi que la présence de fichiers créés dans des emplacements spécifiques.
- Rechercher des activités suspectes telles que le redémarrage inattendu du service Zimbra.
- Rechercher les fichiers créés dans le dossier
/opt/zimbra/jetty/webapps/par l’utilisateur zimbra au cours des 30 derniers jours. - Inspecter le dossier
/opt/zimbra/jetty_base/webapps/à la recherche de fichiers créés par l’utilisateur zimbra au cours des 30 derniers jours. - Examiner le dossier
/tmp/à la recherche de fichiers créés par l’utilisateur zimbra au cours des 30 derniers jours.
Contexte et ciblage antérieur du logiciel Zimbra
ZCS est une suite populaire de messagerie et de collaboration utilisée par des centaines de millions d’organisations et de personnes à travers le monde, incluant des centaines d’agences gouvernementales et des milliers d’entreprises. Les problèmes de sécurité de Zimbra sont fréquemment ciblés dans la nature et ont été utilisés pour dérober des données sensibles sur des serveurs de messagerie vulnérables ces dernières années.
Plus récemment, des chercheurs de Seqrite Labs ont révélé en mars qu’APT28, un groupe de menaces parrainé par un État et lié au service de renseignement militaire russe, exploitait une vulnérabilité de type Cross-Site Scripting (XSS) stocké dans des attaques ciblant des serveurs ZCS du gouvernement ukrainien. En octobre 2024, les agences de cybersécurité américaines et britanniques ont averti que les piratages d’APT29, suivis sous les noms de Midnight Blizzard et Cozy Bear et liés au service de renseignement extérieur de la Russie, visaient des serveurs Zimbra à l’aide d’une faille précédemment exploitée pour dérober des identifiants de comptes de messagerie. Les cyberespions russes de Winter Vivern ont également abusé d’une vulnérabilité de Cross-Site Scripting (XSS) réfléchi pour dérober des e-mails appartenant à des individus et organisations alliés à l’OTAN via des portails de messagerie web Zimbra.
Et ensuite ?
Les agences civiles fédérales exécutives des États-Unis sont tenues d’achever la correction ou l’atténuation de la vulnérabilité CVE-2026-73570 conformément au délai de trois jours imposé par la CISA, soit au plus tard le 24 août.
Source : Article original
