Vulnérabilité Zimbra (CVE-2026-73570) : l'injection de commandes non authentifiée sur les serveurs de messagerie expose les établissements de santé à des intrusions furtives et des vols de données

Une campagne d'exploitation active et massive cible une vulnérabilité critique d'injection de commandes du système d'exploitation, identifiée sous la référence CVE-2026-73570, affectant la suite de collaboration et de messagerie Zimbra Collaboration Suite (ZCS). Cette faille permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur de messagerie via l'envoi d'une requête SMTP spécialement façonnée, sans nécessiter d'interaction utilisateur ni d'identifiants valides.

L'attaque tire parti d'un défaut de validation de la syntaxe des adresses de destinataires SMTP.

Selon les données de veille sur les menaces publiées par Microsoft Threat Intelligence, Elastic Security Labs et Aviatrix Threat Research, cette vulnérabilité fait l'objet d'une exploitation opportuniste et automatisée à l'échelle mondiale. Plus de 270 serveurs Zimbra ont déjà été compromis, et des milliers d'instances non mises à jour restent directement exposées sur Internet. La CISA a inscrit la vulnérabilité CVE-2026-73570 à son catalogue des vulnérabilités exploitées (KEV). Compte tenu du rôle central de la messagerie dans les communications médicales et administratives, le niveau de risque doit être considéré comme critique pour tout établissement de santé exploitant un serveur Zimbra accessible depuis Internet.

Pourquoi cette menace concerne les établissements de santé ?

Au sein des établissements de santé,, la messagerie électronique contribue au fonctionnement quotidien de la chaîne de soins. Elle assure la transmission des comptes rendus d'hospitalisation, les échanges entre praticiens, les notifications liées au Dossier Patient Informatisé (DPI), la diffusion de résultats de laboratoires et les communications administratives stratégiques.

La prise de contrôle d'un serveur de messagerie Zimbra au sein du système d'information de santé (SIS) expose directement l'établissement à plusieurs vulnérabilités structurelles :• L'exposition directe sur Internet : Pour permettre l'accès distant aux praticiens et le flux de courriels inter-établissements, les serveurs de messagerie sont généralement accessibles depuis l'extérieur, constituant une porte d'entrée privilégiée pour s'infiltrer dans le réseau hospitalier.

• L'usurpation d'identité médicale et le hameçonnage interne : La compromission du compte zimbra permet aux attaquants d'envoyer des courriels légitimes en se passant de toute authentification au nom de n'importe quel praticien ou responsable administratif, facilitant les campagnes d'ingénierie sociale ou le déploiement secondaire de rançongiciels.

• La détention de clés d'authentification globales : L'accès au serveur permet d'extraire les clés de pré-authentification (zimbraPreAuthKey) et les jetons de session (zimbraAuthTokenKey), offrant la capacité de générer des accès valides sur n'importe quel compte utilisateur de l'établissement sans connaître son mot de passe.

Quels risques pour les victimes ?

Les investigations techniques menées sur les intrusions récentes associées à l'exploitation de la vulnérabilité CVE-2026-73570 montrent que les compromissions conduisent à :

• Le déploiement de portes dérobées (Webshells JSP) et d'outils de prise en main distante : Les attaquants modifient temporairement les permissions des répertoires Web pour y déposer des webshells JSP dissimulés. Ces composants assurent un accès distant persistant par HTTP, dupliqué sur d'autres nœuds de messagerie.

• L'élévation de privilèges au niveau ROOT : En détournant les mécanismes internes de gestion de boîtes aux lettres de Zimbra, les attaquants parviennent à attribuer au compte de service zimbra des privilèges d'administration complets.

• L'extraction de secrets et la compromission d'annuaire : L'exécution d'outils de collecte permet aux cybercriminels de récupérer l'ensemble des mots de passe de bases de données, des secrets de réplication LDAP et des clés de chiffrement de l'établissement.

• L'exfiltration de bases de données et d'archives de messagerie : Les attaquants procèdent à la création d'archives compressées de l'intégralité des sauvegardes de boîtes mail puis déclenchent leur exfiltration vers des espaces de stockage cloud tiers.

• La persistance système et le camouflage : Installation de services systemd malveillants usurpant des noms légitimes, modification des horodatages pour échapper aux audits de fichiers, et exécution furtive en mémoire.

• La propagation latérale au sein du cluster hospitalier : Exploitation de la clé d'identité SSH interne de Zimbra pour se déplacer automatiquement et sans mot de passe vers d'autres serveurs du cluster de messagerie ou d'autres ressources de l'annuaire d'établissement.

Recommandations et mesures de sécurisation

Afin de faire face à cette menace critique et d'empêcher la compromission des infrastructures de messagerie au sein du système d'information de santé, les actions prioritaires et mesures complémentaires suivantes doivent être mises en œuvre d'urgence :

  1. Appliquer immédiatement les correctifs de sécurité constructeur : Mettre à jour l'ensemble des serveurs Zimbra Collaboration Suite vers la version 10.1.20 ou supérieure, seule version intégrant le correctif officiel pour la vulnérabilité CVE-2026-73570.
  2. Appliquer la mesure de contournement d'urgence si le correctif est différé : Dans l'impossibilité d'appliquer le correctif immédiatement, désinstaller sans délai le paquet optionnel zimbra-snmp, désactiver les notifications SNMP et restreindre les flux SMTP et SNMP aux seuls hôtes de confiance.
  3. Auditer les répertoires applicatifs et nettoyer les webshells JSP : Inspecter l'ensemble des répertoires Web application et servlet work (/jetty_base/webapps/, /mailboxd/webapps/, /work/zimbra/jsp/) sur tous les nœuds de messagerie afin de repérer tout fichier .jsp ou _jsp.java suspect ou récemment créé.
  4. Renouveler l'intégralité des secrets et clés d'authentification : Procéder à la rotation immédiate de l'ensemble des clés de pré-authentification du domaine (zimbraPreAuthKey), des jetons d'authentification, des mots de passe de comptes de service LDAP/MySQL et des paires de clés SSH (zimbra_identity).
  5. Inspecter les services système et la persistance hôte : Examiner les unités systemd présentes dans /etc/systemd/system/ à la recherche de services suspects (tels que zimlog.service ou chronyd-helper.service), en vérifiant leurs propriétaires, leurs dates de modification et leur activation au démarrage.
  6. Pivoter vers une détection comportementale axée sur les exécutions de shell : Configurer les outils de surveillance (SIEM / EDR) pour détecter la création de processus shell (/bin/sh, bash) issus d'un script Perl swatchdog contenant la commande snmptrap, ainsi que l'utilisation d'utilitaires de téléchargement (wget, curl, AzCopy) initiée par le compte zimbra.
  7. Segmenter strictement le serveur de messagerie et restreindre le confinement : Isoler l'infrastructure de messagerie du reste du système d'information critique (Dossier Patient Informatisé, annuaire Active Directory, réseau des équipements médicaux connectés IoMT). Restreindre les capacités du compte de service zimbra à l'aide de profils de confinement de type AppArmor ou seccomp.