返回技術公告
資安通知嚴重程度中CVSS6.1

Zimbra 10.1.16 修正多項網頁信箱安全問題

Zimbra

Zimbra 於 2026 年 2 月 4 日發布 10.1.16，原廠將此版的安全等級標示為「High」。修正項目包括：網頁信箱的反射型跨站指令碼（XSS，誘使使用者點擊特製連結即可觸發）、公開分享的公事包（Briefcase）檔案造成的儲存型 XSS、須經身分驗證才能利用的 Mailbox SOAP 服務 LDAP 注入與 EWS SOAP 端點 XML 外部實體（XXE），以及 CSRF 權杖驗證問題。

影響版本

  • Zimbra Collaboration10.1.0–10.1.15
  • Zimbra Collaboration10.0.x已停止支援，不會取得此修正

已修正版本

  • Zimbra Collaboration10.1.16 以上2026-02-04 發布

建議處理方式

  1. 將 Zimbra Collaboration 更新至 10.1.16 或更新的版本（建議直接更新至 10.1 最新修補版本）
  2. 套用修補前先完成完整備份（原廠未提供自動回復機制），並依原廠修補安裝指南執行安裝與服務重新啟動
  3. 仍在使用 10.0.x 者，10.0 已停止支援、不會取得此修正，應升級至 10.1

如何確認是否受影響

  • 以 zimbra 帳號執行 zmcontrol -v 確認版本與修補層級：10.1 分支低於 10.1.16、或仍為 10.0.x 即受影響；更舊的版本未列於此公告，應另行評估並規劃升級

參考來源

Zimbra Blog：Patch Release Update – Zimbra 10.1.16blog.zimbra.comZimbra Releases：10.1.16wiki.zimbra.comZimbra Security Advisorieswiki.zimbra.comNVD：CVE-2026-33368nvd.nist.govNVD：CVE-2026-33371nvd.nist.govZimbra 修補安裝指南（10.1）wiki.zimbra.comZimbra 產品生命週期（End of Support Matrix）www.zimbra.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告