Alerte cyber pour PME suisses : serveurs Zimbra – une faille activement exploitée permet des attaques par e-mail
Une vulnérabilité activement exploitée dans Zimbra Collaboration Suite permet d’attaquer un serveur de messagerie au moyen d’un e-mail spécialement conçu. La configuration vulnérable requiert le paquet optionnel zimbra-snmp et l’activation des notifications SNMP ; aucune authentification ni action de l’utilisateur n’est nécessaire.
Si votre entreprise utilise Zimbra en interne ou par l’intermédiaire d’un prestataire informatique, demandez immédiatement une vérification de la version et une recherche de traces de compromission.
Que s’est-il passé ?
Le 30 septembre 2026, Microsoft Threat Intelligence a publié des informations sur l’exploitation confirmée de CVE-2026-73570. Dans la configuration concernée, un e-mail piégé peut exécuter des commandes avec les droits du compte de service Zimbra.
Les incidents analysés ont notamment révélé des web shells, des accès à distance, une élévation de privilèges ainsi que l’accès à des e-mails et à des données d’authentification. Zimbra avait déjà corrigé la vulnérabilité sous-jacente dans la version 10.1.20.
Mon entreprise pourrait-elle être concernée ?
Une entreprise peut être concernée si elle exploite Zimbra Collaboration Suite comme serveur de messagerie interne ou si cette solution lui est fournie sous forme de service géré. Les versions antérieures à 10.1.20 doivent être examinées en priorité lorsque zimbra-snmp est installé et que les notifications SNMP sont activées.
Microsoft 365, Exchange Online et Google Workspace ne sont pas concernés par cette vulnérabilité Zimbra. Votre prestataire informatique peut confirmer la plateforme réellement utilisée pour la messagerie de l’entreprise.
Que devriez-vous faire maintenant ?
Demandez aujourd’hui à votre prestataire informatique d’effectuer une vérification rapide. La tâche ne doit pas se limiter à l’installation du correctif : puisque des attaques ont déjà eu lieu, il faut également rechercher les signes d’une compromission antérieure.
Confirmer si Zimbra Collaboration Suite est utilisé et relever la version installée.
Installer une version actuelle et prise en charge ; la correction de CVE-2026-73570 introduite dans Zimbra 10.1.20 doit être présente.
Vérifier si zimbra-snmp est installé et si les notifications SNMP sont activées.
Examiner les journaux, les répertoires web, les accès distants, les mécanismes de persistance et les identifiants concernés selon les indications de Microsoft.
Quel est le degré d’urgence ?
Urgence : élevée. L’exploitation est confirmée et l’attaque ne requiert ni authentification ni intervention d’un collaborateur. Les systèmes potentiellement concernés doivent être vérifiés immédiatement ; l’installation du correctif ne permet pas à elle seule d’exclure une compromission antérieure.
Informations pour votre prestataire informatique
CVE : CVE-2026-73570.
Vecteur d’attaque : message SMTP spécialement conçu atteignant le traitement des notifications SNMP.
Conditions requises : zimbra-snmp installé et notifications SNMP activées.
Correction : Zimbra Collaboration Suite 10.1.20 ou version ultérieure ; privilégier la dernière version prise en charge.
Si la mise à jour immédiate est impossible, évaluer les mesures temporaires décrites par Microsoft et leur impact sur la messagerie avant de les appliquer.
Rechercher des traces de compromission depuis la fin juillet 2026 à l’aide des indicateurs et comportements décrits par Microsoft.
