Zimbra הוא מה שמחזיק את הדואר של ארגונים שבחרו לא להעביר אותו לענן. הרשומה הזאת עוסקת בממשק הדואר הקלאסי שלו, ובכתובת אחת בתוכו שמגישה קבצים שלא הייתה אמורה להגיש. הציון הוא 8.8, והחולשה נמצאת ברשימת החולשות שידוע שמנצלים אותן.

מה החולשה?

לשרת יש כתובת בשם /h/rest שמקבלת פרמטרים, ולפיהם הוא מחליט איזה משאב פנימי להגיש. הרכיב שמטפל בהחלטה נקרא ברשומה RestFilter.

מה שהרשומה מתארת הוא שהערכים שמגיעים בבקשה אינם נבדקים כראוי לפני ההחלטה הזאת. מי ששולח ערך מתאים יכול להטות את הניתוב הפנימי ולגרום לשרת להגיש לו קובץ שרירותי מתוך תיקיית WebRoot, במקום המשאב שהכתובת נועדה לשרת. לטכניקה הזאת קוראים Local File Inclusion, הכללה של קובץ מקומי: הקובץ שנטען נקבע בסופו של דבר לפי קלט מבחוץ ולא לפי מה שהמפתח התכוון.

הבקשה עצמה אינה דורשת חשבון. מה שכן, וזה הבדל ששווה לשים לב אליו, הדירוג ברשומה מסמן שנדרשת גם פעולה כלשהי מצד משתמש. כלומר אין כאן בקשה בודדת שמסתדרת לבדה מקצה לקצה.

מי מושפע?

הרשומה מציינת את Zimbra Collaboration בשתי סדרות: 10.0 לפני 10.0.18, ו-10.1 לפני 10.1.13. הממשק המדובר הוא ה-Classic UI.

השאלה המעשית היא אם הארגון שלכם מחזיק שרת דואר משלו. מי שעבר ל-Microsoft 365 או ל-Google Workspace אינו כאן. מי שנשאר עם שרת בבעלותו, ו-Zimbra הוא אחת התשובות הנפוצות לזה, כן.

שרת דואר הוא גם יעד עם ערך גבוה במיוחד, כי מה שעובר דרכו אינו רק הודעות אלא גם הודעות איפוס הסיסמה של כל שאר המערכות.

האם מנוצלת בפועל?

כן. ב-22 בינואר 2026 נוספה החולשה לקטלוג ה-KEV, הרשימה שסוכנות הסייבר האמריקאית CISA מנהלת ומכניסה אליה חולשות רק כשיש ראיה לניצול אמיתי. מועד התיקון שנקבע לגופים הפדרליים בארצות הברית היה 12 בפברואר 2026.

מה עושים?

בדקו את הגרסה. ב-Zimbra אפשר לראות אותה בממשק הניהול או בשורת הפקודה על השרת עצמו.

עדכנו ל-10.0.18 אם אתם בסדרה 10.0, או ל-10.1.13 אם אתם בסדרה 10.1. אלה המספרים שהרשומה מציבה כגבול, ומרכז האבטחה של Zimbra הוא המקום שבו היצרן מפרסם את פרטי העדכונים.

עברו על יומני הגישה וחפשו בקשות אל /h/rest. זו הכתובת שמופיעה ברשומה, וזו הבדיקה הישירה ביותר שאפשר לעשות בלי כלים נוספים. בקשות כאלה מכתובות שאינן של המשתמשים שלכם הן מה שמעניין.

אם אינכם יכולים לעדכן מיד, צמצמו מי יכול להגיע לממשק הדואר מבחוץ. זה לא סוגר את החולשה, אבל זה מקטין את מספר מי שיכול לשלוח אליה בקשה בכלל.