- Plusieurs failles graves ont été découvertes dans Zimbra Collaboration, un logiciel de messagerie et de travail collaboratif utilisé par de nombreuses PME.
- Les plus sérieuses permettent à un attaquant d’exécuter des commandes à distance sur votre serveur ou d’injecter du code malveillant dans l’interface.
- Une mise à jour est disponible : appliquez-la dès que possible pour protéger vos données et vos utilisateurs.
Ce qui se passe
Le CERT-FR a publié le 19 août 2026 un avis de sécurité concernant Synacor Zimbra Collaboration. Plusieurs vulnérabilités y ont été identifiées, dont certaines sont particulièrement sérieuses.
Concrètement, un attaquant qui exploiterait ces failles pourrait :
- Exécuter du code à distance : prendre le contrôle d’une partie de votre serveur sans avoir besoin d’un accès physique.
- Réaliser des requêtes falsifiées côté serveur (SSRF) : forcer votre serveur à contacter des ressources internes ou externes à votre insu, pour cartographier votre réseau ou accéder à des données sensibles.
- Injecter du code dans l’interface (XSS) : afficher du contenu malveillant aux utilisateurs connectés, voler des sessions ou rediriger vers des pages frauduleuses.
Beaucoup de PME considèrent que leur messagerie Zimbra, hébergée en interne ou chez un prestataire, est « protégée par le pare-feu » et que les mises à jour peuvent attendre. Ce raisonnement est risqué : certaines de ces failles peuvent être exploitées via un simple e-mail ou une connexion à l’interface web, sans franchir votre pare-feu.
Qui est concerné ?
Toute organisation qui utilise Zimbra Collaboration comme solution de messagerie ou de travail collaboratif est potentiellement concernée. Si vous ne savez pas si vous utilisez ce logiciel, renseignez-vous auprès de votre prestataire informatique ou de votre responsable IT.
Si Zimbra est géré par un prestataire externe, contactez-le aujourd’hui par écrit pour lui demander de confirmer que la mise à jour a bien été appliquée. Gardez une trace de cet échange : en cas d’incident, cela prouve votre démarche de diligence.
Ce qu’il faut faire concrètement
Vérifiez sans attendre la version de Zimbra que vous utilisez et appliquez les correctifs disponibles. Si votre solution est hébergée ou administrée par un tiers, relancez-le par écrit pour obtenir une confirmation de mise à jour. En parallèle, sensibilisez vos collaborateurs à signaler tout comportement inhabituel dans leur messagerie (messages étranges, redirections, demandes de reconnexion inattendues). Pour plus de détails techniques, consultez l’avis officiel du CERT-FR : CERTFR-2026-AVI-1041.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.