Résoudre le problème de la forte utilisation du processeur par Zimbra avec ClamAV ou FreshClam

Lorsqu'un serveur Zimbra ralentit soudainement, les administrateurs constatent souvent clamdune freshclamutilisation excessive du processeur par ClamAV topet en déduisent que le service antivirus est bloqué. Cela peut arriver, mais les deux processus ont des fonctions différentes : freshclamClamAV télécharge et vérifie les mises à jour de signatures, tandis que clamdZimbra analyse les fichiers et les messages. Une file d'attente de messagerie saturée, un rechargement de base de données, une boucle de mise à jour défaillante ou un second processus antivirus peuvent tous se traduire par l'erreur « ClamAV utilise trop de ressources CPU ». Il est donc essentiel d'identifier le processus responsable de cette utilisation excessive avant de redémarrer quoi que ce soit ou de modifier les paramètres de l'antivirus.

Ce guide décrit les étapes allant des contrôles à faible risque à la reprise de service. Les commandes et les chemins d'accès ci-dessous correspondent aux installations Zimbra courantes ; le chemin d'accès exact à ClamAV et les étapes de reprise de service varient selon la version de Zimbra Collaboration. Veuillez les vérifier avec votre version installée avant toute modification.

1. Identifiez le processus ClamAV qui consomme le plus de ressources CPU.

Commencez par noter le nom du processus, l'utilisation du processeur, le temps écoulé et le chemin d'accès à la commande. Exécutez cette commande en tant qu'administrateur ou avec un compte disposant des droits d'inspection des processus système :

ps -eo pid,pcpu,pmem,etime,args | grep -E 'clamd|freshclam'

Surveillez ensuite le processus suspect pendant un court intervalle avec la commande `ls` top -p PID, en remplaçant ` PID<numéro>` par le numéro obtenu avec la première commande. Une seule lecture ne suffit pas à diagnostiquer un problème persistant : ps`ls` fournit un instantané, tandis que ` topls` permet de voir si l'utilisation du processeur reste élevée ou diminue après une analyse ou une mise à jour. Notez également si le chemin d'accès appartient à Zimbra (généralement sous `/etc/zimbra`) /opt/zimbraou à un autre paquet du système d'exploitation.

Si freshclaml'activité augmente brièvement puis s'arrête ou revient à l'état inactif après une mise à jour réussie, cela diffère d'un processus qui reste constamment occupé. S'il clamds'agit d'un processus consommateur continu, l'analyse des messages ou le chargement de la base de données sont des causes plus probables. Ne mettez pas fin à l'un ou l'autre processus simplement parce qu'un seul échantillon présente une activité élevée ; vérifiez d'abord les journaux et assurez-vous que le flux de messagerie est toujours actif.

2. Consultez les journaux antivirus avant de modifier les paramètres.

La documentation de Zimbra répertorie les journaux antivirus dans son répertoire de journaux. Sur de nombreuses installations, consultez les entrées récentes avec :

tail -n 80 /opt/zimbra/log/clamd.log
tail -n 80 /opt/zimbra/log/freshclam.log

Analysez les horodatages en parallèle du pic d'utilisation du processeur. Dans le cas d'une activité de clamd.logmessagerie intense, des requêtes d'analyse répétées ou des messages de chargement de base de données peuvent lier l'utilisation du processeur à l'activité de messagerie ou à un rechargement de signature. Dans le cas freshclam.logd'une mise à jour réussie suivie d'une période d'inactivité, il s'agit d'une opération de mise à jour de routine ; des échecs de connexion répétés, des tentatives de reconnexion, des erreurs de somme de contrôle ou une mise à jour qui ne se termine jamais nécessitent une investigation plus approfondie. Consultez également le journal de messagerie Zimbra à peu près au même moment, car une augmentation du nombre de messages entrants ou de pièces jointes peut accroître le nombre d'analyses.

Consultez la documentation de Zimbra sur les fichiers journaux pour vérifier leur emplacement dans votre version. Le guide de dépannage FreshClam de ClamAV explique les erreurs courantes du système de mise à jour, notamment les problèmes de DNS, de téléchargement et de limitation de débit. Un avertissement indiquant qu'un moteur est plus ancien que la dernière version amont de ClamAV ne prouve pas à lui seul une base de données corrompue ; Zimbra fournit un moteur testé avec chaque version ZCS.

3. Vérifiez la présence d'une mise à jour en double, d'un espace disque insuffisant ou d'une augmentation soudaine de la charge de travail.

Avant toute modification, éliminez les causes courantes pouvant maintenir le service occupé :

• Processus dupliqués : vérifiez la présence de plusieurs clamdprocessus freshclam. Un service ClamAV installé séparément au niveau du système d’exploitation ou une tâche cron personnalisée peuvent lancer une seconde instance en parallèle du service géré par Zimbra. Ne désactivez aucun service avant d’avoir identifié le produit qui le gère et celui qui le lance.
• Pression sur le disque : vérifiez l’espace disponible et le nombre d’inodes avec df -h /opt/zimbrales commandes `ls` et `ls` df -i /opt/zimbra. Un système de fichiers plein peut empêcher les mises à jour temporaires ou l’écriture des journaux et entraîner des tentatives de réécriture. Ne supprimez pas manuellement les fichiers de signature pour libérer de l’espace.
• Volume de messagerie : comparez le pic d’utilisation du processeur avec le volume de messages entrants, la taille des pièces jointes, les messages en file d’attente et les envois groupés récents. Une forte activité d’analyse peut augmenter clamdl’utilisation du processeur même lorsque le service fonctionne correctement.
• Mise à jour de la connectivité : si freshclaml’opération échoue systématiquement, vérifiez la résolution DNS de l’hôte, l’horloge, la connectivité sortante et les paramètres de proxy requis. Corrigez le problème de réseau ou de proxy sous-jacent au lieu de lancer manuellement des mises à jour répétées.

ClamAV explique dans son manuel de configuration comment FreshClam gère les mises à jour et la journalisation . Zimbra documente également un paramètre de fréquence de mise à jour des définitions de virus, mais sa valeur et sa configuration doivent être vérifiées pour votre version de ZCS. Ne réduisez pas la fréquence de mise à jour pour économiser du temps CPU : des signatures obsolètes affaiblissent la protection, tandis qu'un DNS ou un proxy défectueux continuera de poser problème, quelle que soit la fréquence de mise à jour.

4. Appliquer la solution la moins perturbatrice qui corresponde aux éléments de preuve

Si clamd est occupé lors d'un pic de courrier,

Laissez la tâche en cours se vider tout en surveillant l'utilisation du processeur et la distribution des courriels. Si le même schéma se reproduit, établissez une corrélation avec la taille des messages, les pièces jointes compressées et le volume de courrier entrant, puis examinez la capacité du serveur et la politique d'analyse des pièces jointes de votre organisation. Évitez d'ajouter des limites ClamAV non documentées ou d'exclure des types de fichiers sans évaluer l'impact sur la sécurité et vérifier les contrôles pris en charge par Zimbra dans la version installée.

Si FreshClam échoue à plusieurs reprises

Corrigez les problèmes de DNS, de proxy, de pare-feu, d'horloge ou d'accès réseau sortant signalés dans le journal. Assurez-vous que seul le programme de mise à jour officiel de Zimbra est en cours d'exécution. Évitez de programmer des exécutions manuelles fréquentes ou de télécharger des bases de données de signatures à l'aide de scripts ad hoc ; ClamAV identifie FreshClam et cvdupdate comme méthodes de mise à jour compatibles, et l'intégration fournie par Zimbra doit rester la source de référence pour un serveur Zimbra.

Si la base de données semble endommagée ou si clamd ne démarre pas, veuillez contacter le service client.

Les erreurs telles qu'une base de données corrompue, une erreur de somme de contrôle ou un échec de chargement de la base de données nécessitent une récupération adaptée à la version. La procédure de réinitialisation de la définition ClamAV de Zimbra comporte des instructions différentes selon les générations de ZCS, notamment des chemins d'accès différents pour les binaires FreshClam. Consultez la procédure complète correspondant à la version que vous utilisez avant de déplacer ou de reconstruire des fichiers de base de données. Conservez une copie de la base de données existante jusqu'à confirmation de la récupération et n'appliquez jamais sans précaution les commandes d'un guide d'une ancienne version.

Ne remplacez pas les binaires ClamAV de Zimbra par une version amont autonome comme solution de première intention pour améliorer les performances. La documentation de Zimbra indique que les modifications apportées au moteur hors cycle peuvent ne pas être prises en charge ; utilisez le correctif ZCS approprié ou la procédure de mise à niveau si le moteur intégré nécessite une mise à jour.

Redémarrez le service antivirus uniquement après avoir vérifié la cause.

Si le service reste bloqué après la résolution du problème sous-jacent, un redémarrage contrôlé de l'antivirus peut supprimer un processus obsolète ou recharger la base de données réparée. Planifiez-le à un moment où une brève interruption de l'analyse est acceptable et suivez la séquence de commandes correspondant à votre version de ZCS. La procédure Zimbra est documentée zmantivirusctl stopet zmantivirusctl startexécutée en tant zimbraqu'utilisateur :

su - zimbra
zmantivirusctl stop
zmantivirusctl start
zmcontrol status

N'effectuez pas de redémarrage complet zmcontrol stoppour un problème lié uniquement à ClamAV, sauf si votre contrat de maintenance l'exige. Si le service antivirus ne redémarre pas, conservez les journaux pertinents et utilisez le support ou le service de dépannage spécifique à votre version de Zimbra plutôt que de redémarrer le service en boucle.

5. Vérifiez que l'utilisation du processeur et l'analyse du courrier électronique sont revenues à la normale.

Après la correction ou le redémarrage, répétez le processus de vérification et observez l'évolution de l'utilisation du processeur plutôt que de vous fier à une valeur instantanée. Assurez-vous que le processus clamdest bien présent, freshclamqu'il n'est pas bloqué par des tentatives de redémarrage répétées et zmcontrol statusque l'antivirus est en cours d'exécution. Consultez les nouvelles entrées du journal pour vérifier le chargement réussi de la base de données et l'absence d'erreurs récurrentes de mise à jour ou d'analyse. Enfin, vérifiez que les messages de test normaux sont bien distribués et traités conformément à la politique de sécurité de messagerie de votre organisation.

Une bonne récupération présente trois signes observables : le processus responsable ne consomme plus de ressources CPU de manière continue une fois son traitement terminé ; les journaux cessent de répéter la même erreur ; et le flux de messagerie et le service antivirus de Zimbra restent opérationnels. Si l’utilisation du CPU reste élevée, collectez un instantané du processus horodaté, les entrées correspondantes du clamd.logjournal freshclam.logde messagerie, les résultats d’analyse de l’espace disque et votre version de ZCS. Ces éléments permettent de distinguer un véritable dysfonctionnement du scanner d’un volume de messagerie important ou d’une interruption du processus de mise à jour, sans compromettre la fiabilité de l’analyse antivirus.

Note de version : Instructions vérifiées le 6 octobre 2026. Le centre technique de Zimbra comprend des références actuelles ainsi que des pages de dépannage plus anciennes et spécifiques à chaque version ; vérifiez les commandes et les chemins d’accès par rapport à la documentation de votre version ZCS installée.