返回技術公告
資安通知嚴重程度高

Zimbra 10.1.19 修正 Classic 網頁信箱重大 XSS 漏洞

Zimbra

Zimbra 於 2026 年 7 月 7 日發布 10.1.19，修正傳統網頁信箱（Classic Web Client）的儲存型跨站指令碼（XSS）漏洞：使用者開啟特製郵件時，即可能執行惡意程式碼，取得信箱內容、登入工作階段或帳號設定。原廠將此版標示為安全等級「High」，說明這是影響 Classic Web Client 的重大漏洞，所有使用 Classic Web Client 的客戶都應盡快更新；此 XSS 尚未公布 CVE 編號與 CVSS 分數。前一版 10.1.18（2026 年 6 月 16 日）另修正 CVE-2026-49975 惡意 HTTP 請求造成的阻斷服務問題（CVSS 7.5），該分數不適用於本次 XSS。

影響版本

  • Zimbra Collaboration 10.1.19 之前（Classic Web Client 儲存型 XSS；原廠未列出受影響版本起點）
  • Zimbra Collaboration 10.1.18 之前（CVE-2026-49975 阻斷服務，前一版修正）

已修正版本

  • Zimbra Collaboration10.1.192026-07-07 發布，修正 Classic Web Client XSS
  • Zimbra Collaboration10.1.182026-06-16 發布，修正 CVE-2026-49975

建議處理方式

  1. 將 Zimbra Collaboration 更新至 10.1 最新修補版本（至少 10.1.19）
  2. 後續補充：原廠於 2026-07-20 發布 10.1.20，修正已遭利用的 SNMP 指令注入漏洞 CVE-2026-73570（CISA 於 2026-08-21 列入 KEV），因此建議至少更新至 10.1.20
  3. 套用修補前先完成完整備份（原廠未提供自動回復機制），並依原廠修補安裝指南執行安裝與服務重新啟動
  4. 由 10.0.x、9.0.x 或 8.8.15 升級至 10.1.19 者，依原廠版本說明，需在升級完成後依安全公告重新套用更新後的 SNMP 緩解措施

如何確認是否受影響

  • 以 zimbra 帳號執行 zmcontrol -v 確認版本與修補層級，並確認是否有使用者使用 Classic Web Client；低於 10.1.19 且有使用 Classic Web Client 者應優先更新

參考來源

Zimbra Blog：Patch Release Update – Zimbra 10.1.19blog.zimbra.comZimbra Releases：10.1.19wiki.zimbra.comZimbra Releases：10.1.18wiki.zimbra.comZimbra Blog：Patch Release Update – Zimbra 10.1.20blog.zimbra.comZimbra Security Advisorieswiki.zimbra.comNVD：CVE-2026-49975nvd.nist.govZimbra 修補安裝指南（10.1）wiki.zimbra.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告