返回技術公告
資安通知嚴重程度重大CVSS8.8已遭利用（CISA KEV）

Zimbra /h/rest 檔案引入漏洞已遭利用，請更新至 10.1.13

Zimbra

Zimbra Collaboration 10.0 與 10.1 傳統網頁信箱（Classic UI）的 RestFilter 未妥善處理使用者送出的請求參數，未經驗證的遠端攻擊者可對 /h/rest 端點送出特製請求，進而引入網站根目錄（WebRoot）中的任意檔案。原廠已於 2025 年 11 月的 10.1.13 與 10.0.18 修正。美國 CISA 於 2026 年 1 月 22 日將此漏洞列入已知遭利用漏洞清單（KEV）。CVSS 3.1 為 8.8（高），因已遭實際利用，本站列為重大。

影響版本

  • Zimbra Collaboration10.1.0–10.1.12
  • Zimbra Collaboration10.0.0–10.0.17

已修正版本

  • Zimbra Collaboration10.1.13 以上2025-11-06 發布
  • Zimbra Collaboration10.0.18 以上2025-11-06 發布；10.0 已於 2025-12-31 結束支援

建議處理方式

  1. 將 Zimbra Collaboration 更新至 10.1.x 最新的修補版本（至少 10.1.13）
  2. 仍在使用 10.0.x 的主機：10.0 的技術指導期已於 2025-12-31 結束，之後不再有安全修補，應規劃升級至 10.1
  3. 一般性防護與調查建議：評估限制受影響網頁服務的網際網路存取，並檢視網頁伺服器存取紀錄中是否有異常的 /h/rest 請求；這些措施不能取代更新，未發現異常也不能據以判定未遭入侵

暫時無法更新時

  • 原廠公告未列出可取代更新的暫時緩解措施，應優先安裝修正版本；依 CISA KEV 要求，無可用緩解措施時應停止使用受影響的產品

如何確認是否受影響

  • 以 zimbra 帳號執行 zmcontrol -v 查看目前版本，10.1 低於 10.1.13、10.0 低於 10.0.18 即受影響

參考來源

Zimbra Security Advisorieswiki.zimbra.comZimbra Blog：Patch Release Update – Zimbra 10.1.13, 10.0.18blog.zimbra.comZimbra Releases：10.1.13wiki.zimbra.comNVD：CVE-2025-68645nvd.nist.govCISA Known Exploited Vulnerabilities：CVE-2025-68645www.cisa.govZimbra 產品生命週期（End of Support Matrix）www.zimbra.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告