Faille Zimbra : des espions russes lisent vos mails non mis à jour !

Je vous jure, après 15 ans à réparer des serves mal configurés, j’ai l’impression que certaines entreprises font exprès de jouer à la roulette russe avec leurs données. Cette fois, c’est la faille Zimbra faille sécurité qui joue les starlettes et attire l’attention des services de renseignement. La CISA, la NSA, le FBI et leurs potes alliés sortent du bois avec un communiqué lapidaire : si vous hébergez vous-même un serveur Zimbra et que vous ne l’avez pas mis à jour depuis juillet 2025, félicitations, vous venez de gagner un pass VIP pour l’espionnage russe.

Le groupe en question s’appelle Laundry Bear (ou Void Blizzard chez Microsoft, parce que visiblement les noms de code, c’est comme les mots de passe : personne ne se met d’accord). Ces mecs-là sont liés à l’État russe, et ils exploitent une faille connue depuis un an. Autant dire que si vos mails traînent sur un serveur Zimbra non patché, vos correspondances privées ou professionnelles sont probablement en train de faire le tour de Moscou avant même que vous ayez eu le temps de dire « putain, j’ai oublié de lancer l’update ».

Zimbra : le choix (déraisonnable) de l’auto-hébergement

Mine de rien, Zimbra, c’est un peu le couteau suisse du mail auto-hébergé. Open source, puissant, avec un webmail qui fait presque envie… Sauf que. Sauf que comme tout logiciel libre, il demande une maintenance régulière. Et là, où 90% des admins se plantent, c’est qu’ils installent Zimbra en mode « set and forget », comme si c’était un grille-pain.

La semaine dernière, un client m’a appelé en panique : son serveur Zimbra qui gérait les mails de sa PME depuis 5 ans était devenu soudainement ultra-lent. Après 2 heures de debug intensif (merci les logs qui mentent), j’ai découvert qu’il tournait sur une version de 2023. Non seulement la faille était exploitée depuis des mois, mais en plus, les comptes admin avaient été compromis. Du coup, les mails partaient en copie vers une adresse inconnue en Lettonie. Charmant.

Le pire ? Quand je lui ai demandé pourquoi il n’avait pas patché, sa réponse : « Ben, ça marche, non ? ». Oui, mon gars. Ça marche jusqu’à ce qu’un groupe de hackers sponsorisés par un État étranger décide que ton serveur de mails est le nouveau terrain de jeu.

Pourquoi Zimbra attire tant les espions ?

Zimbra, c’est un peu comme laisser sa porte d’entrée grande ouverte avec un panneau « Bienvenue, espions étrangers ! ». La faille en question ? Une injection de code dans l’interface web. En gros, si vous n’avez pas patché avant septembre 2025, un attaquant peut exécuter du JavaScript malveillant dans votre navigateur… et hop, il récupère vos identifiants de session. Une fois dedans, c’est comme si vous lui donniez les clés de votre serveur sur un plateau. Vos mails ? Il les lit. Vos contacts ? Il les exfiltre. Votre réputation ? Il la détruit en deux clics.

Et le plus drôle (si on peut dire), c’est que Zimbra a corrigé la faille en urgence il y a un an. Pourtant, des milliers de serveurs tournent encore avec des versions vulnérables. Vous pensez que c’est de la négligence ? Moi, je pense que c’est de l’incompétence pure et simple. Ou pire : de l’arrogance. « Mon serveur est trop petit pour être intéressant », « On n’a rien à cacher ». Sauf que Laundry Bear, il s’en tamponne. Lui, il prend tout ce qui bouge.

Comment savoir si votre Zimbra est déjà compromis ?

Votre serveur de mails est anormalement lent ? Ça peut être un signe.
Vous recevez des mails bizarres, avec des pièces jointes ou des liens suspects ? Vérifiez les en-têtes.
Des utilisateurs se plaignent de se faire déconnecter sans raison ? Quelqu’un joue avec vos sessions.
Vous avez des logs d’accès depuis des IP étrangères ? C’est déjà trop tard.

Le plus rageant ? Même après avoir patché, si l’intrus a eu le temps de s’installer, il peut laisser des portes dérobées. Donc la première chose à faire, c’est auditer votre serveur comme si votre vie en dépendait. Parce que peut-être… elle en dépend.

La routine de mise à jour : votre meilleur rempart

Je vais vous donner un conseil de mec qui en a vu, des serveurs massacrés par des mises à jour Windows ratées : automatisez vos patches. Il existe des outils pour Zimbra, des scripts, des dockers préconfigurés… Bref, des solutions pour ne plus avoir à penser à ça. Parce que « oublier de mettre à jour » n’est pas une option quand des espions russes sont en train de se goinfrer vos données.

Et si vous me dites « Ouais, mais moi je n’ai pas le temps », sachez une chose : prendre 10 minutes pour lancer un update, c’est 10 minutes de gagnées versus des semaines à reconstruire votre infrastructure après une intrusion. C’est mathématique.

Zimbra vs. les géants du mail : qui gagne la guerre des failles ?

Évidemment, les solutions hébergées comme Gmail ou Outlook ont aussi leurs problèmes. Mais au moins, quand une faille est découverte, Google ou Microsoft la corrigent en 24h et la déploient automatiquement. Chez vous ? Vous attendez que le sysadmin du coin daigne cliquer sur « Mettre à jour ». Et pendant ce temps, Laundry Bear fait ses emplettes.

Moi, je le dis cash : Zimbra en auto-hébergement, c’est du suicide numérique. Sauf si vous avez une équipe dédiée à la sécurité. Sinon, autant prendre un abonnement chez OVH ou Gandi et dormir sur vos deux oreilles. Parce que gérer la sécurité d’un serveur de mails, c’est comme élever un enfant : ça demande du temps, de l’attention, et parfois des sacrifices.

Et non, migrer vers ProtonMail ou Tutanota ne résout pas tout. Ces services sont sécurisés, mais si vous gardez Zimbra comme relais SMTP, vous restez vulnérable. La sécurité, c’est un écosystème. Pas un seul maillon faible.

Ce que les experts ne vous disent pas (mais que j’ai appris à la dure)

Les rapports des agences de renseignement, c’est bien. Les alertes de la CISA, c’est utile. Mais entre nous, personne ne vous explique comment réagir concrètement. Alors voici ce que je fais quand un client me demande « Marc, c’est grave si ma faille Zimbra n’est pas patchée ? » :

Je coupe l’accès Internet du serveur immédiatement. Pas de panique, on le réactive après l’audit.
Je vérifie les logs des 3 derniers mois. Si vous n’en avez pas, c’est déjà un problème.
Je lance un scan avec des outils comme Zimbra Collaboration Suite Audit Tool ou Nessus. Parce que deviner, c’est pour les amateurs.
Si la faille est exploitée, je réinstalle le serveur de zéro. Oui, c’est brutal. Non, il n’y a pas d’autre solution.
Je change tous les mots de passe, les clés API, les certificats SSL. Parce que si les Russes ont mis le pied dedans, ils ont probablement tout vu.

Et après ? Je mets en place une surveillance automatique. Parce que une faille corrigée hier ne garantit pas que personne n’a déjà laissé une backdoor dans un coin.

Le casse-tête des hébergeurs mutualisés

Ah, et si vous êtes chez un hébergeur mutualisé ? Bonne chance. Sauf si vous avez un contrat premium avec un support réactif, vous dépendez de la négligence des autres. Moi, j’ai vu des hébergeurs bas de gamme ignorer des mails de clients pendant des semaines. Alors quand une faille critique sort… vous êtes bon pour prier.

Le seul vrai conseil ? Si vous ne gérez pas votre propre serveur, choisissez un hébergeur qui prend la sécurité au sérieux. Pas celui qui vous facture 2€ par mois et qui a des serveurs sous Windows 2012.

Faut-il abandonner Zimbra ?

Non. Mais il faut le considérer comme un logiciel hautement critique. Comme un serveur SQL exposé sur Internet. Ou comme une base de données avec des mots de passe en « 123456 ».

Si vous tenez absolument à Zimbra, voici ma check-list de survie :

Patch quotidiennement. Oui, quotidiennement.
Activez l’authentification à deux facteurs. Pour tous les comptes, y compris les admin.
Isoler le serveur sur un VLAN dédié. Parce qu’un mail piraté, ça peut contaminer tout le réseau.
Surveillez les connexions entrantes. Si vous voyez des requêtes depuis la Russie à 3h du mat’, c’est peut-être Laundry Bear qui fait du tourisme.
Chiffrez vos communications. STARTTLS, DANE, DKIM… Tout ce qui peut aider.

Et si vous n’êtes pas capable de faire ça ? Alors partez sur une solution hébergée et arrêtez de jouer aux apprentis sorciers. Parce qu’à ce jeu-là, vous perdrez toujours.

En résumé : la preuve que l’incompétence n’a pas de frontière

Alors voilà. Une faille connue depuis un an, exploitée par des espions russes, et pourtant des milliers de serveurs Zimbra traînent encore avec des versions vulnérables. Vous voulez mon avis ? C’est moins une question de technologie qu’une question de culture de la sécurité.

Les entreprises qui se font pirater ont souvent un point commun : elles considèrent la maintenance comme une option. Comme si mettre à jour un serveur, c’était du temps perdu. Pourtant, une mise à jour oubliée, c’est comme une porte laissée entrouverte en pleine nuit. Sauf qu’ici, les voleurs ne viennent pas voler vos bijoux. Ils volent vos données. Vos secrets. Votre vie privée.

Et Laundry Bear, il adore ça.

Que faire maintenant ? Ma checklist express pour survivre à cette faille

Si vous culpabilisez en lisant cet article, c’est normal. Moi aussi, j’ai déjà merdé. Alors voici ce que vous devez faire dans les 24h si vous utilisez Zimbra :

Vérifiez votre version. Ouvrez un terminal et tapez :
```
zmcontrol -v
```
Si votre version est antérieure à 10.0.7, vous êtes dans la zone rouge.
Lancez une mise à jour. La dernière version stable de Zimbra est disponible sur leur site. Suivez leur guide de mise à jour comme si votre vie en dépendait (parce que c’est peut-être le cas).
Changez tous vos mots de passe. Admin, utilisateurs, base de données… Tout. Immédiatement. Utilisez un gestionnaire de mots de passe, un générateur aléatoire, n’importe quoi, mais pas « password123 ».
Activez la 2FA. Si vous ne l’avez pas encore fait, c’est maintenant ou jamais. Zimbra supporte l’authentification à deux facteurs via TOTP ou WebAuthn.
Analysez les logs. Cherchez des connexions suspectes, des tentatives d’injection, des IP inconnues. Des outils comme GoAccess ou Logwatch peuvent aider.
Sauvegardez tout. Une sauvegarde propre, vérifiée, testée. Parce que si vous devez tout reconstruire, autant avoir une base saine.
Signalez l’incident. Même si vous pensez que rien ne s’est passé, ALERTEZ VOTRE CERT ou la CNIL. En France, on a des structures pour ça (CERT-FR).

Et surtout : arrêtez de croire que ça n’arrivera jamais. Parce que si Laundry Bear s’en prend à votre serveur, ce n’est pas une question de « si », mais de « quand ». Et à ce moment-là, il sera trop tard.

Dernier mot : la sécurité, c’est comme un vaccin

On ne voit pas tout de suite les effets. Parfois, on a mal à l’épaule après la piqûre. Mais quand le virus arrive, ceux qui ont été négligents se retrouvent à l’hôpital… ou pire. Avec Zimbra (et toute infrastructure critique), c’est exactement la même chose.

Alors oui, mettre à jour, ça prend du temps. Oui, sécuriser un serveur, ça demande des compétences. Mais au final, le choix est simple : vous préférez perdre 1 heure par mois à faire du bon boulot… ou des années à reconstruire ce qui a été détruit par des espions ?

Moi, je sais ce que je choisis.

Pour aller plus loin : les sources officielles et ce qu’elles ne disent pas

Si vous voulez creuser, voici les liens officiels qui ont déclenché cette alerte. Mais attention, entre les lignes, il y a des détails qui devraient vous faire froid dans le dos.

Ces documents sont techniques, mais ils montrent une chose : Laundry Bear cible spécifiquement les serveurs de messagerie non patchés. Et Zimbra est en tête de liste.

Donc oui, c’est une alerte sérieuse. Non, ce n’est pas du FUD. Et oui, si vous ne faites rien, vous jouez avec le feu.

Alors ? Vous mettez à jour aujourd’hui… ou vous attendez que vos mails atterrissent dans les dossiers de Poutine ?