Plus de 10 000 serveurs Zimbra seraient encore vulnérables à une faille déjà exploitée.
D’après BleepingComputer, la vulnérabilité CVE-2025-48700 touche Zimbra Collaboration Suite et permettrait l’exécution de JavaScript arbitraire dans la session utilisateur via une faille XSS dans l’interface Zimbra Classic.
Le point le plus préoccupant est le déclencheur : l’exploitation peut se produire lorsqu’un utilisateur consulte un email spécialement conçu dans l’interface vulnérable.
Pas besoin de pièce jointe malveillante. Pas besoin de macro. Pas forcément de lien cliqué.
Juste un email affiché dans un webmail vulnérable.
Sources : BleepingComputer et NVD - CVE-2025-48700.
Ce que l’on sait de CVE-2025-48700
CVE-2025-48700 est une vulnérabilité de type Cross-Site Scripting dans Zimbra Collaboration Suite.
Selon les informations publiées, elle affecte notamment les versions ZCS 8.8.15, 9.0, 10.0 et 10.1. Le problème vient d’une insuffisance de filtrage de certains contenus HTML, ce qui peut permettre l’exécution de JavaScript dans la session de l’utilisateur.
BleepingComputer rapporte également que CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités exploitées, et que Shadowserver a observé plus de 10 500 serveurs Zimbra exposés et non corrigés.
Ce n’est donc pas seulement une vulnérabilité théorique. C’est un risque opérationnel pour les organisations qui exposent encore des instances vulnérables.
Pourquoi ce scénario est inquiétant
La messagerie est une surface d’attaque particulière : elle est consultée toute la journée, par beaucoup d’utilisateurs, avec des contenus reçus depuis l’extérieur.
Dans ce cas, le risque ne repose pas uniquement sur le clic de l’utilisateur. Le simple affichage d’un message spécialement conçu dans une interface vulnérable peut devenir un déclencheur suffisant.
C’est précisément pour cela qu’un webmail exposé doit être traité comme une application critique.
Un serveur mail ne contient pas seulement des messages. Il peut exposer :
- des échanges internes ;
- des pièces jointes sensibles ;
- des informations clients ou fournisseurs ;
- des réinitialisations de mots de passe ;
- des liens vers d’autres applications ;
- des sessions actives ;
- des identifiants ou indices d’identité.
Une compromission de messagerie peut donc devenir un point d’entrée vers d’autres comptes ou d’autres systèmes.
La sécurité email ne s’arrête pas à SPF, DKIM et DMARC
SPF, DKIM et DMARC sont indispensables pour l’authentification email. Ils aident à réduire l’usurpation de domaine et à améliorer la confiance des messages envoyés.
Mais ils ne protègent pas un webmail vulnérable.
La sécurité email couvre aussi l’infrastructure complète :
- le serveur mail ;
- l’interface webmail ;
- l’authentification ;
- l’exposition Internet ;
- les correctifs de sécurité ;
- les journaux d’accès ;
- les connexions suspectes ;
- la supervision ;
- les comptes compromis.
Autrement dit, un domaine peut avoir un SPF propre, un DKIM actif et un DMARC bien configuré, tout en restant exposé si son webmail n’est pas maintenu.
Actions prioritaires pour les organisations utilisant Zimbra
Pour les organisations qui utilisent encore Zimbra, les premières actions sont simples à formuler, mais elles doivent être réalisées rapidement.
Vérifier la version utilisée
La première étape consiste à identifier précisément la version de Zimbra Collaboration Suite déployée.
Il ne faut pas se contenter de savoir que “Zimbra est installé”. Il faut vérifier la version, l’édition, les composants exposés et l’interface réellement utilisée par les utilisateurs.
Appliquer les correctifs de sécurité
Si l’instance est concernée, les correctifs disponibles doivent être appliqués.
Un serveur mail non corrigé devient rapidement une cible prioritaire, surtout lorsqu’une vulnérabilité est connue, documentée et activement exploitée.
Limiter l’exposition publique du webmail
Quand c’est possible, l’exposition publique de l’interface webmail doit être réduite.
Selon le contexte, cela peut passer par :
- un filtrage d’accès ;
- un VPN ;
- une restriction par adresse IP ;
- une publication derrière une couche de protection ;
- une désactivation d’interfaces anciennes non nécessaires.
Le bon niveau de restriction dépend de l’organisation, mais laisser une interface ancienne exposée sans supervision est rarement une bonne idée.
Surveiller les journaux et les comptes
Après correction, il faut aussi regarder ce qui a pu se passer avant.
Quelques contrôles utiles :
- connexions inhabituelles ;
- accès depuis des pays ou adresses IP atypiques ;
- règles de transfert créées récemment ;
- changements de mot de passe ;
- comportements anormaux sur certains comptes ;
- pics d’activité webmail ;
- traces d’accès à des messages sensibles.
La correction ferme la porte. L’analyse des journaux aide à savoir si quelqu’un est déjà passé.
Un rappel pour les administrateurs système
Zimbra est souvent installé dans des environnements où la messagerie est gérée de manière autonome. C’est une force, mais aussi une responsabilité.
Il faut maintenir :
- le système ;
- Zimbra ;
- les certificats ;
- les mécanismes d’authentification ;
- les sauvegardes ;
- les logs ;
- les politiques de sécurité ;
- l’exposition réseau.
Une messagerie auto-hébergée ou dédiée ne doit jamais être traitée comme une boîte noire qui “fonctionne tant qu’elle reçoit des emails”.
Le lien avec la délivrabilité
À première vue, une faille XSS dans un webmail semble uniquement relever de la cybersécurité.
Mais l’impact peut aussi toucher la délivrabilité et la réputation.
Un serveur compromis peut être utilisé pour envoyer des messages frauduleux, détourner des comptes, créer des règles de transfert ou faciliter des campagnes de phishing internes et externes.
Quand une infrastructure mail devient suspecte, la réputation de l’organisation peut être affectée. Les destinataires, les partenaires et les fournisseurs peuvent perdre confiance.
La délivrabilité ne dépend pas seulement des DNS. Elle dépend aussi de l’intégrité de l’infrastructure qui envoie, reçoit et expose les emails.
Conclusion
Cette alerte Zimbra rappelle une réalité simple : la messagerie reste une infrastructure critique.
Un serveur mail contient des données sensibles, sert de point de passage vers d’autres services et est consulté en permanence par les utilisateurs.
La priorité est donc claire : vérifier les versions, appliquer les correctifs, limiter l’exposition, surveiller les journaux et rechercher les signes de compromission.
En sécurité email, les angles morts ne se limitent pas aux enregistrements DNS. Ils se trouvent aussi dans les webmails exposés, les interfaces anciennes, les serveurs non maintenus et les journaux jamais relus.