Zimbra est un logiciel de messagerie collaborative open source utilisé par de nombreux établissements de santé en France. Au Centre Hospitalier Public du Cotentin (CHPC) de Cherbourg, cette plateforme centralise les courriels, les agendas et le partage de documents pour l’ensemble du personnel. Sa particularité dans un contexte hospitalier tient moins à ses fonctionnalités bureautiques qu’aux contraintes de sécurité et de conformité réglementaire qui encadrent son exploitation.
Vulnérabilité CVE-2026-73570 : ce que Zimbra impose aux équipes informatiques hospitalières
Les contenus existants sur Zimbra au CHPC se concentrent sur la prise en main de l’interface ou la gestion des dossiers de messagerie. Aucun n’aborde la réalité opérationnelle la plus pressante pour un service informatique hospitalier : la gestion des failles de sécurité.
À l’été 2026, une vulnérabilité critique de type injection de commande (CVE-2026-73570) a été identifiée sur Zimbra Collaboration. Elle touche le composant de notifications SNMP des versions antérieures à 10.1.20. Le CERT Santé, portail de cyberveille de l’Agence du numérique en santé (ANS), a diffusé une alerte le 20 août 2026.
Comme le détaille le site Un Soupir dans son analyse de cette messagerie sécurisée, la gestion proactive des mises à jour constitue un enjeu permanent pour les établissements qui exploitent Zimbra.
Le contournement provisoire recommandé par le CERT Santé consiste à désinstaller le paquet zimbra-snmp ou désactiver les notifications SNMP sur les instances qui n’utilisent pas cette fonctionnalité. La correction définitive passe par une mise à jour vers ZCS 10.1.20 au minimum.
L’ampleur du problème dépasse le CHPC. Selon un article de veille technique publié fin août 2026, plus de 270 serveurs Zimbra avaient déjà été compromis dans le monde, dont 21 en France. Pour un hôpital, un serveur de messagerie compromis signifie un risque d’exfiltration de données de santé, ce qui place cette faille dans une catégorie de gravité particulière.
Certification HDS et messagerie hospitalière : le cadre réglementaire de Zimbra au CHPC
Zimbra, en tant que logiciel, ne porte pas de certification. C’est l’infrastructure sur laquelle il est hébergé qui doit répondre aux exigences réglementaires. Pour un établissement hospitalier comme le CHPC, la question centrale est celle de la certification HDS (Hébergement de Données de Santé).
Le référentiel HDS a évolué ces dernières années avec un durcissement des obligations. La version 2 du référentiel, adossée au décret sur la souveraineté des données, renforce les exigences en matière de localisation et de contrôle des données hébergées. Concrètement, un hôpital qui utilise Zimbra doit s’assurer que son hébergeur dispose de cette certification, que les données transitent et sont stockées dans un environnement conforme, et que les sauvegardes respectent les mêmes contraintes.
Ce que la conformité HDS implique pour l’usage quotidien
Pour le personnel soignant ou administratif, ces obligations se traduisent par des contraintes d’usage parfois perçues comme rigides :
- L’accès au webmail depuis un terminal personnel non enrôlé peut être restreint ou interdit, selon la politique de sécurité de l’établissement
- Les pièces jointes contenant des données patient sont soumises à des règles de chiffrement lors du transit, ce qui peut ralentir l’envoi de fichiers volumineux
- Les comptes inactifs au-delà d’une certaine durée sont désactivés automatiquement pour limiter la surface d’attaque
Ces contraintes ne relèvent pas d’un choix de Zimbra, mais du cadre réglementaire français applicable à tout système manipulant des données de santé. Un hôpital qui utilise Gmail ou Outlook serait soumis aux mêmes obligations, à condition que l’hébergeur soit certifié HDS.
Authentification et contrôle d’accès : les couches de sécurité autour de Zimbra
L’accès à la messagerie Zimbra du CHPC passe par l’URL dédiée de l’établissement. La page de connexion propose des identifiants professionnels attribués par le service informatique. Mais la sécurité d’une messagerie hospitalière ne repose pas uniquement sur un couple identifiant/mot de passe.
Plusieurs mécanismes complémentaires entrent en jeu dans un déploiement Zimbra en milieu hospitalier :
- L’authentification multifacteur (MFA), qui ajoute une vérification supplémentaire lors de la connexion (code temporaire, application d’authentification)
- Le filtrage réseau, qui limite l’accès au webmail à certaines plages d’adresses IP ou aux postes connectés au réseau interne de l’hôpital
- La journalisation des connexions, qui permet au service informatique de détecter des accès anormaux (connexion depuis un pays inhabituel, tentatives multiples échouées)
- La gestion centralisée des droits via un annuaire LDAP, qui synchronise les comptes avec le système d’information de l’établissement
Cette dernière couche est particulièrement utile dans un hôpital. Quand un agent quitte l’établissement ou change de service, la désactivation de son compte Zimbra est liée à la mise à jour de l’annuaire. Pas de compte orphelin signifie pas de porte d’entrée oubliée.
Interface Zimbra au CHPC : Modern, Classic et les choix concrets d’utilisation
Zimbra propose deux versions principales de son interface web : Modern et Classic. La page de connexion du CHPC laisse le choix à l’utilisateur, avec une troisième option « Default » qui charge la préférence enregistrée dans le compte.
Différences fonctionnelles entre les deux interfaces
L’interface Modern est conçue pour s’adapter aux écrans de toutes tailles, y compris les tablettes. Elle intègre des fonctionnalités de glisser-déposer et une présentation visuelle plus aérée. L’interface Classic conserve les fonctionnalités avancées de collaboration et de calendrier, privilégiées par les utilisateurs qui gèrent des plannings complexes ou des boîtes partagées entre services.
Dans un contexte hospitalier, le choix entre les deux interfaces n’est pas anodin. Le personnel administratif qui travaille sur un poste fixe avec un grand écran tirera parti des fonctions avancées de Classic. Le personnel soignant qui consulte rapidement ses messages entre deux consultations, parfois depuis une tablette de service, trouvera Modern plus adapté.
Le paramètre se modifie dans les préférences du compte (Settings > General > Zimbra Version pour Modern, Preferences > General > Sign In pour Classic). Ce réglage est individuel et ne nécessite pas d’intervention du service informatique.
La messagerie Zimbra du CHPC Cherbourg fonctionne comme un maillon dans une chaîne plus large de sécurité informatique hospitalière. La faille CVE-2026-73570 rappelle que la fiabilité d’un tel outil dépend autant de la rigueur des mises à jour que de la qualité de l’interface proposée aux utilisateurs.
