返回技術公告
資安通知嚴重程度重大CVSS6.1已遭利用（CISA KEV）

Zimbra 舊版 Classic UI XSS 漏洞列入遭利用清單

Zimbra

Zimbra Collaboration 8.8.15、9.0、10.0 與 10.1 的傳統網頁信箱（Classic UI）對 HTML 郵件內容過濾不足，攻擊者可利用特製的標籤結構、屬性值與 @import 指令，在使用者以 Classic UI 檢視郵件時執行惡意指令碼，不需其他操作。原廠已於 10.1.4、10.0.12、9.0.0 Patch 43 與 8.8.15 Patch 47 修正，美國 CISA 於 2026 年 4 月 20 日將此漏洞列入已知遭利用漏洞清單（KEV）。CVSS 3.1 為 6.1（中度），因已遭實際利用，本站列為重大。

影響版本

  • Zimbra Collaboration10.1.0–10.1.3
  • Zimbra Collaboration10.0.0–10.0.11
  • Zimbra Collaboration 9.0.0 Patch 43 之前
  • Zimbra Collaboration 8.8.15 Patch 47 之前

已修正版本

  • Zimbra Collaboration10.1.4 以上10.1 分支
  • Zimbra Collaboration10.0.12 以上10.0 分支，已停止支援
  • Zimbra Collaboration9.0.0p43 以上9.0 分支，已停止支援
  • Zimbra Collaboration8.8.15p47 以上8.8.15 分支，已停止支援

建議處理方式

  1. 確認所有 Zimbra 主機已更新；建議直接更新至 10.1.x 最新修補版本，8.8.15、9.0、10.0 均已停止支援，應升級至 10.1
  2. 原廠未提供可取代更新的暫時緩解措施，應優先完成修補；依 CISA KEV 要求，無法修補或緩解時應停止使用受影響的產品
  3. 補充檢查（一般建議，非原廠針對本漏洞的處置）：更新後檢查是否有帳號出現非預期的轉寄規則、信件篩選器或設定變更

如何確認是否受影響

  • 以 zimbra 帳號執行 zmcontrol -v 查看目前版本，10.1 低於 10.1.4、10.0 低於 10.0.12、9.0 低於 Patch 43、8.8.15 低於 Patch 47 即受影響

參考來源

Zimbra Security Advisorieswiki.zimbra.comNVD：CVE-2025-48700nvd.nist.govCISA Known Exploited Vulnerabilities：CVE-2025-48700www.cisa.govZimbra 產品生命週期（End of Support Matrix）www.zimbra.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告