Zimbra הוא שרת דואר וממשק webmail שארגונים מריצים אצלם במקום להשתמש בשירות ענן. בגרסאות שלפני 8.8.15 Patch 7, ובתנאי שרכיב מסוים מותקן ופעיל, תוקף לא מזוהה יכול לגרום לשרת לשלוח בקשות לפי בחירתו. הציון הוא 9.8 מתוך 10, והחולשה נמצאת ברשימת החולשות שתוקפים מנצלים בפועל.
מה החולשה?
ל-Zimbra יש מנגנון תוספים שנקראים zimlet, רכיבים קטנים שמוסיפים יכולות לממשק הדואר. אחד מהם משלב את WebEx, ומטבע העבודה שלו הוא פונה לכתובות ברשת בשם המשתמש.
שם בדיוק נמצאת החולשה. לפי הרשומה, כאשר ה-zimlet של WebEx מותקן והרצת JSP עבור zimlet מאופשרת, אפשר לגרום לשרת לפנות לכתובת שהתוקף בחר. הסיווג הוא CWE-918, ומה שהוא מתאר הוא שהתוקף אינו ניגש בעצמו אל היעד אלא מפעיל את השרת כשליח שלו.
ההבדל בין השניים הוא כל העניין. שרת ה-Zimbra יושב בתוך הרשת של הארגון, ויש לו גישה למקומות שאין להם חשיפה החוצה: ממשקי ניהול פנימיים, שירותים שמאזינים רק בפנים, ומשאבים שסומכים על כך שמי שפונה אליהם כבר נמצא בצד הנכון של הגדר. בקשה שמגיעה מהשרת נראית להם לגיטימית לחלוטין.
הציון 9.8 גבוה בעיקר בגלל התנאים ולא בגלל תחכום מיוחד: הפנייה אפשרית דרך הרשת, בלי פרטי אימות כלשהם, ובלי שנדרשת פעולה של אדם אחר.
מי מושפע?
הרשומה מציינת את Zimbra Collaboration Suite בגרסאות שלפני 8.8.15 Patch 7. שני תנאים נוספים צריכים להתקיים כדי שהחולשה תהיה רלוונטית: ה-zimlet של WebEx מותקן, והרצת JSP עבורו מאופשרת. התקנה שבה הרכיב הזה כלל אינו נמצא אינה חשופה דרך הנתיב הזה.
בישראל Zimbra מוכר בעיקר בארגונים ובמוסדות שבחרו להחזיק את הדואר אצלם, ואצל ספקי אחסון שמוכרים אותו כשירות. משתמש פרטי אינו מתקין Zimbra. מצד שני, מי שכן מריץ אותו מחזיק בו את הדואר של ארגון שלם, וזה מה שהופך כל חולשה בו לעניין רציני. אם אתם עובדים מול webmail שנראה שונה מ-Gmail ומ-Outlook ויושב בכתובת של הארגון, שווה לשאול את מנהל הרשת אם זה Zimbra ובאיזו גרסה.
האם מנוצלת בפועל?
כן. ב-17 בפברואר 2026 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שידוע שתוקפים מנצלים בשטח, עם מועד תיקון לגופים פדרליים עד 10 במרץ 2026.
הרשומה עצמה מפברואר 2020. שש שנים חלפו בין הפרסום לסימון, וזה מספר שאומר משהו על שרתי דואר שמותקנים בארגון: הם עולים לאוויר, הם עובדים, ואיש אינו נוגע בהם עד שמשהו נשבר. שרת שלא עודכן מאז 2020 חשוף היום להרבה מעבר לחולשה הזאת.
מה עושים?
עדכנו את Zimbra ל-8.8.15 Patch 7 לפחות. הודעת הגרסה הרשמית של Zimbra מקושרת בתיבת המידע הטכני בתחתית העמוד, ושם מפורט מה נכלל בתיקון ואיך מתקינים אותו.
אם אתם צריכים משהו מיידי לפני שהעדכון מתוכנן, בדקו אם ה-zimlet של WebEx בכלל מותקן אצלכם. רשימת ה-zimlet-ים ומצב ההפעלה של כל אחד מוצגים בממשק הניהול של Zimbra. אם הרכיב הזה אינו בשימוש בארגון, הסרה או השבתה שלו סוגרות את הנתיב הספציפי הזה עד להתקנת התיקון.
ואם השרת מנוהל עבורכם בידי ספק, זו שאלה אחת בדואר: באיזו גרסת Zimbra אנחנו, והאם Patch 7 מותקן. בקשו מספר גרסה מלא, לא אישור כללי שהכל מעודכן.