Une faille Zimbra activement exploitée pousse la CISA à imposer un correctif en trois jours
La CVE-2026-73570, une injection de commande dans le module SNMP de Zimbra, a déjà compromis plus de 270 serveurs selon Shadowserver.
Photo : Taylor Vick / Unsplash
Une vulnérabilité critique affectant Zimbra Collaboration Suite (ZCS), référencée CVE-2026-73570, fait l'objet d'une exploitation active depuis le 21 août 2026, plus d'un mois après la publication d'un correctif. L'agence américaine de cybersécurité CISA a réagi en imposant aux agences fédérales un délai de correction de seulement trois jours, une urgence rare qui en dit long sur la gravité perçue.
Une injection de commande dans un composant optionnel
La faille touche toutes les versions de Zimbra antérieures à la 10.1.20, via le composant optionnel de supervision « zimbra-snmp ». Lorsque ce paquet est installé et que les notifications SNMP sont activées, un attaquant non authentifié peut envoyer des requêtes SMTP spécialement construites pour exécuter des commandes arbitraires avec les privilèges de l'utilisateur Zimbra. Le score de sévérité attribué est de 8,9 sur 10, ce qui correspond à un niveau « élevé » plutôt que « critique » au sens strict de l'échelle CVSS — une nuance que la réaction en urgence des autorités ne reflète pas forcément dans le langage courant, mais qui reste techniquement exacte.
Un mois d'écart entre le correctif et l'exploitation
Le correctif, disponible depuis le 20 juillet 2026 dans la version 10.1.20, existait donc depuis plus d'un mois lorsque le CERT Polska a détecté les premières exploitations actives, le 21 août 2026. C'est bien une faille exploitée dans la nature, et non un simple scénario théorique : le CERT Polska, l'organisation Shadowserver et les chercheurs de Seqrite Labs ont tous observé des compromissions réelles avant même l'alerte publique.
Trois jours pour patcher, un délai exceptionnellement court
La CISA a ajouté la faille à son catalogue des vulnérabilités connues et exploitées (KEV) le 23 août 2026, avec une échéance de correction fixée au 24 août pour les agences fédérales américaines — soit un délai d'à peine trois jours, très inférieur aux 15 ou 30 jours habituellement accordés pour ce type d'alerte. Un signal fort adressé à l'ensemble des organisations utilisant Zimbra, bien au-delà du seul périmètre des agences américaines.
Que faire en attendant la mise à jour
Pour les administrateurs qui n'ont pas encore appliqué le correctif, la recommandation la plus immédiate reste de désactiver le composant SNMP et ses notifications si son usage n'est pas strictement nécessaire, en attendant la mise à jour vers la version 10.1.20 ou supérieure.
Source
À lire ensuite
Le phishing « passkey » qui vide des comptes Microsoft 365 ne casse aucune clé d'accès
Une campagne de phishing active depuis mai 2026 pousse des employés vers de faux portails Microsoft sous prétexte de mettre à jour leur passkey. Le passkey n'est jamais réellement attaqué : c'est un prétexte pour rediriger la victime vers un flux d'authentification, lui, réellement piégeable.
Kelvyn2 min de lecture
Des failles JFrog Artifactory enchaînées pour créer des comptes administrateur en moins de cinq minutes
Deux vulnérabilités JFrog Artifactory, enchaînées, permettent d'obtenir un accès administrateur en quelques minutes sur des instances auto-hébergées non corrigées. Wiz confirme une exploitation active depuis la mi-août, avec le déploiement d'une porte dérobée sur mesure.
Kelvyn2 min de lecture
Une faille GitLab notée 10 sur 10 permet de lire des fichiers arbitraires en une seule requête
GitLab corrige une faille de sévérité maximale permettant à un attaquant non authentifié de lire des fichiers arbitraires sur un serveur vulnérable. La société watchTowr observe déjà des tentatives de sondage, sans preuve de compromission réussie à ce stade.
Kelvyn2 min de lecture