Cybersécurité : plus de 270 serveurs Zimbra piratés, l’attaque continue

274 serveurs Zimbra déjà compromis et au moins 8 200 installations toujours non corrigées. Une campagne d’attaques exploite actuellement une faille permettant de prendre le contrôle à distance de serveurs de messagerie sans même disposer d’un compte utilisateur.

La vulnérabilité CVE-2026-73570 a pourtant été corrigée le 20 juillet. Plus d’un mois après, des milliers d’organisations restent exposées.

Pour une entreprise, compromettre Zimbra ne signifie pas seulement perdre une boîte mail. C’est potentiellement ouvrir l’accès à des années de communications internes, documents, contacts et identifiants.

Zimbra : 274 serveurs déjà compromis

Cette offensive intervient alors que les institutions financières africaines reconnaissent déjà leur retard face aux nouvelles cybermenaces.

Shadowserver a identifié 274 instances compromises le 22 août en recherchant des traces d’exploitation de CVE-2026-73570.

La faille se trouve dans le composant de surveillance SNMP de Zimbra Collaboration Suite. Lorsqu’une configuration spécifique est activée, un attaquant peut envoyer une requête SMTP spécialement conçue et faire exécuter des commandes sur le serveur.

Pas besoin de mot de passe.

Le CERT Polska, qui a détecté l’exploitation active, recommande une mise à jour immédiate vers Zimbra 10.1.20.

Les administrateurs doivent aussi chercher des redémarrages inhabituels du service et des fichiers suspects créés récemment dans certains répertoires Zimbra.

8 200 serveurs restent sans correctif

Shadowserver recense au moins 8 200 instances non patchées.

Cela ne signifie pas que les 8 200 sont exploitables : la fonction vulnérable n’est pas activée par défaut dans toutes les configurations.

Le nombre reste préoccupant.

Zimbra est utilisé par des entreprises et des administrations qui préfèrent souvent héberger elles-mêmes leur messagerie plutôt que dépendre de Gmail ou Microsoft 365.

Cette autonomie possède un prix : la sécurité du serveur devient entièrement la responsabilité de l’organisation.

Le problème rejoint celui observé avec ToxicPanda sur Android : une faille connue devient beaucoup plus dangereuse lorsque les correctifs arrivent après les attaquants.

La CISA a d’ailleurs ajouté CVE-2026-73570 à son catalogue des vulnérabilités activement exploitées et imposé aux agences fédérales américaines une correction sous trois jours.

Les e-mails restent une cible stratégique

Zimbra intéresse depuis longtemps les groupes cybercriminels et les acteurs étatiques.

APT28, lié au renseignement militaire russe, a déjà exploité des failles Zimbra contre des administrations ukrainiennes. APT29 et Winter Vivern ont également ciblé la plateforme dans différentes campagnes.

La raison est simple.

Un serveur mail contient parfois davantage de renseignements qu’un ordinateur individuel : contrats, discussions internes, pièces jointes, mots de passe réinitialisés et informations confidentielles.

C’est aussi pourquoi les faux e-mails restent l’un des principaux vecteurs utilisés contre les utilisateurs crypto.

Pour les organisations encore sur Zimbra, la priorité n’est donc plus seulement de mettre à jour.

Si le serveur est resté vulnérable ces dernières semaines, il faut aussi chercher les traces d’une compromission déjà réussie.

En bref

• 274 serveurs Zimbra ont déjà été identifiés comme compromis.
• Au moins 8 200 instances restent non corrigées.
• CVE-2026-73570 permet une exécution de commandes sans authentification dans certaines configurations.
• Le correctif est disponible depuis Zimbra 10.1.20.