返回技術公告
資安通知嚴重程度重大CVSS9.8已遭利用（CISA KEV）

Zimbra 舊版 WebEx Zimlet SSRF 漏洞列入遭利用清單

Zimbra

Zimbra Collaboration 8.8.15 Patch 7 之前的版本，若安裝了 WebEx Zimlet 並啟用 Zimlet JSP，攻擊者可利用伺服器端請求偽造（SSRF）讓 Zimbra 主機代為存取內部網路資源。原廠已於 2020 年 2 月發布的 8.8.15 Patch 7 修正此漏洞；美國 CISA 於 2026 年 2 月 17 日依實際利用證據將其列入已知遭利用漏洞清單（KEV）。

影響版本

  • Zimbra Collaboration 8.8.15 Patch 7 之前的版本（需已安裝 WebEx zimlet 並啟用 zimlet JSP）

已修正版本

  • Zimbra Collaboration8.8.15p7 以上2020-02-10 發布

建議處理方式

  1. 盤點是否仍有 8.8.15 Patch 7 之前的 Zimbra 主機；8.8.15 與 9.0 皆已停止支援，應依原廠升級程序遷移至仍受支援的 10.1 並套用最新修補，升級前完成完整備份
  2. 升級完成前，限制網際網路對受影響網頁服務的存取（包括經反向代理轉送的存取）；無法修補且無可用緩解措施時，CISA 建議停止使用受影響的產品

暫時無法更新時

  • 依原廠描述的必要條件推論，可移除 WebEx Zimlet 或停用 Zimlet JSP，並確認變更已生效；原廠未提供此漏洞專用的緩解程序，此作法不等同完成修補

如何確認是否受影響

  • 以 zimbra 帳號執行 zmcontrol -v 確認版本與修補層級；低於 8.8.15 Patch 7、已安裝 WebEx Zimlet、且已啟用 Zimlet JSP，三項條件均成立時即符合受影響條件
  • 以 zimbra 帳號執行 zmzimletctl listZimlets，確認是否部署了 WebEx 相關 Zimlet（此指令無法確認 JSP 是否啟用，需另行檢查設定）

參考來源

Zimbra Security Advisorieswiki.zimbra.comZimbra Security Center：8.8.15 Patch 7 發布日期wiki.zimbra.comZimbra Releases：8.8.15 Patch 7wiki.zimbra.comNVD：CVE-2020-7796nvd.nist.govCISA Known Exploited Vulnerabilities：CVE-2020-7796www.cisa.govZimbra 產品生命週期（End of Support Matrix）www.zimbra.comZimbra Admin Guide：命令列工具（zmzimletctl）github.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告