Une faille Zimbra activement exploitée pousse la CISA à imposer un correctif en trois jours

Une vulnérabilité critique affectant Zimbra Collaboration Suite (ZCS), référencée CVE-2026-73570, fait l'objet d'une exploitation active depuis le 21 août 2026, plus d'un mois après la publication d'un correctif. L'agence américaine de cybersécurité CISA a réagi en imposant aux agences fédérales un délai de correction de seulement trois jours, une urgence rare qui en dit long sur la gravité perçue.

Une injection de commande dans un composant optionnel

La faille touche toutes les versions de Zimbra antérieures à la 10.1.20, via le composant optionnel de supervision « zimbra-snmp ». Lorsque ce paquet est installé et que les notifications SNMP sont activées, un attaquant non authentifié peut envoyer des requêtes SMTP spécialement construites pour exécuter des commandes arbitraires avec les privilèges de l'utilisateur Zimbra. Le score de sévérité attribué est de 8,9 sur 10, ce qui correspond à un niveau « élevé » plutôt que « critique » au sens strict de l'échelle CVSS — une nuance que la réaction en urgence des autorités ne reflète pas forcément dans le langage courant, mais qui reste techniquement exacte.

Un mois d'écart entre le correctif et l'exploitation

Le correctif, disponible depuis le 20 juillet 2026 dans la version 10.1.20, existait donc depuis plus d'un mois lorsque le CERT Polska a détecté les premières exploitations actives, le 21 août 2026. C'est bien une faille exploitée dans la nature, et non un simple scénario théorique : le CERT Polska, l'organisation Shadowserver et les chercheurs de Seqrite Labs ont tous observé des compromissions réelles avant même l'alerte publique.

Trois jours pour patcher, un délai exceptionnellement court

La CISA a ajouté la faille à son catalogue des vulnérabilités connues et exploitées (KEV) le 23 août 2026, avec une échéance de correction fixée au 24 août pour les agences fédérales américaines — soit un délai d'à peine trois jours, très inférieur aux 15 ou 30 jours habituellement accordés pour ce type d'alerte. Un signal fort adressé à l'ensemble des organisations utilisant Zimbra, bien au-delà du seul périmètre des agences américaines.

Que faire en attendant la mise à jour

Pour les administrateurs qui n'ont pas encore appliqué le correctif, la recommandation la plus immédiate reste de désactiver le composant SNMP et ses notifications si son usage n'est pas strictement nécessaire, en attendant la mise à jour vers la version 10.1.20 ou supérieure.

Source

BleepingComputer