Zimbra : exécution de commandes via un simple courriel, correctif en 10.1.20
Une faille de Zimbra Collaboration Suite permet à un inconnu d’exécuter des commandes en envoyant des requêtes SMTP truquées. La CISA la déclare exploitée : la version 10.1.20 corrige le défaut.
Pour les pros
Pour les professionnels
Exploitée, catalogue KEV
Correctif disponible, 10.1.20
CVE-2026-73570
- Nature
- injection de commandes système sans authentification via des requêtes SMTP, lorsque le paquet zimbra-snmp est installé et les notifications SNMP activées
- CVSS v3.1, gravité
- CVSS8,9
- Corrigé dans
- 10.1.20
- Versions touchées
- zimbra_collaboration_suite : < 10.1.20
- Vecteur CVSS v3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L- EPSS (24/10)
- EPSS71,7 % (99e centile)
- Catalogue KEV
- KEVExploitéeoui, ajoutée le 21/08
- Fiches et avis
- NVD pour CVE-2026-73570, cve.org pour CVE-2026-73570
Ce qu'on sait de l'exploitation
CVE-2026-73570 est inscrite au catalogue des vulnérabilités exploitées (KEV) de la CISA depuis le 21 août 2026. L’agence a fixé au 24 août 2026 l’échéance pour appliquer les mesures de l’éditeur. La CISA demande aussi de respecter ses exigences de tri forensique. L’usage par des rançongiciels est indiqué comme inconnu dans le catalogue.
À faire, dans l'ordre
Vérifier si vos serveurs Zimbra Collaboration utilisent une version antérieure à 10.1.20.
Installer la version corrigée 10.1.20.
Contrôler si le paquet zimbra-snmp est installé avec les notifications SNMP activées : c’est la condition de l’attaque décrite.
Appliquer les mesures de l’éditeur et le tri forensique demandés par la CISA, ou cesser d’utiliser le produit si elles sont indisponibles.
En clair
Pour tout le monde
Zimbra est un logiciel de messagerie que des entreprises et des administrations hébergent elles-mêmes. Dans une configuration précise, avec le paquet SNMP installé et ses notifications activées, un message envoyé par un inconnu peut faire exécuter des commandes sur le serveur. La CISA constate que cette faille est déjà utilisée. Les responsables d’un serveur Zimbra doivent installer la version corrigée.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Fiches CVE
- Exploitation confirmée
- Scores EPSS
Sources (4)
- Fiches CVEAutoritéCVE-2026-73570 sur CVE.org (site externe, nouvel onglet)cve.org
- Fiches CVEAutoritéCVE-2026-73570 dans la NVD (site externe, nouvel onglet)nvd.nist.gov
- Exploitation confirméeAutoritéCISA, catalogue des vulnérabilités exploitées (KEV) (site externe, nouvel onglet)cisa.gov
- Scores EPSSAutoritéFIRST, Exploit Prediction Scoring System (site externe, nouvel onglet)first.org