Attackers Exploit Zimbra Flaw to Deploy Web Shells and Harvest Authentication Secrets

Exploitation active de la faille Zimbra pour le vol de données

Des acteurs malveillants exploitent une vulnérabilité critique dans Zimbra Collaboration Suite (ZCS) pour déployer des web shells, élever leurs privilèges et exfiltrer des données sensibles. Les attaquants utilisent cette faille pour obtenir un accès à distance, persister sur le système et récolter des secrets d’authentification.

Points clés :

• Vecteur d’attaque : La vulnérabilité est déclenchée par une requête SMTP spécialement conçue, ne nécessitant aucune authentification ni interaction utilisateur.
• Méthodes : Les attaquants déploient des web shells (JSP), utilisent des reverse shells, modifient les fichiers de configuration pour escalader les privilèges et exploitent les identités SSH existantes pour se déplacer latéralement dans le cluster.
• Impact : Vol de données de messagerie, récupération de jetons d’authentification (LDAP, 2FA) et exfiltration d’archives de bases de données.

Vulnérabilité :

• CVE-2026-73570 : Injection de commande OS non authentifiée dans le service SNMP de Zimbra (Score CVSS : 8.9).

Recommandations :

• Mise à jour : Installer immédiatement la version 10.1.20 ou ultérieure (patch disponible depuis juillet 2026).
• Atténuation immédiate : Si le patch ne peut être appliqué, désinstaller le paquet zimbra-snmp, désactiver les notifications SNMP et restreindre l’accès SNMP et SMTP aux hôtes de confiance.
• Post-compromission : Auditer les journaux (/var/log/zimbra.log) à la recherche de redémarrages suspects, vérifier l’intégrité des répertoires temporaires et des “webapps” pour détecter des web shells, et procéder à une rotation immédiate de tous les secrets d’authentification Zimbra.

Source