ZimbraZimbra Collaboration 傳統網頁信箱（Classic UI）未能過濾 HTML 郵件中的 CSS @import 指令，攻擊者寄出特製郵件，使用者以 Classic UI 開啟時即可能在其登入狀態下執行惡意指令碼（儲存型 XSS）。原廠已於 10.1.13 與 10.0.18 修正，美國 CISA 於 2026 年 3 月 18 日將此漏洞列入已知遭利用漏洞清單（KEV）。CVSS 3.1 為 7.2（高），因已遭實際利用，本站列為重大。
影響版本
- Zimbra Collaboration10.1.0–10.1.12
- Zimbra Collaboration10.0.0–10.0.17
已修正版本
- Zimbra Collaboration10.1.13 以上2025-11-06 發布
- Zimbra Collaboration10.0.18 以上2025-11-06 發布；10.0 已於 2025-12-31 結束支援
建議處理方式
- 將 Zimbra Collaboration 更新至 10.1.x 最新的修補版本（至少 10.1.13）；10.0.x 應升級至 10.1
- 更新後提醒使用者留意可疑郵件，並檢查是否有帳號出現非預期的轉寄規則、信件篩選器或應用程式密碼等設定變更
暫時無法更新時
- CISA 後續建議（2026-07-23 聯合資安公告）：無法立即安裝修補時，暫停使用 Classic 網頁信箱，改用其他郵件用戶端，直到完成修補
如何確認是否受影響
- 以 zimbra 帳號執行 zmcontrol -v 查看目前版本，10.1 低於 10.1.13、10.0 低於 10.0.18 即受影響
參考來源
Zimbra Security Advisorieswiki.zimbra.comZimbra Blog：Patch Release Update – Zimbra 10.1.13, 10.0.18blog.zimbra.comNVD：CVE-2025-66376nvd.nist.govCISA Known Exploited Vulnerabilities：CVE-2025-66376www.cisa.govCISA 2026-07-23：針對 Zimbra 使用者的國家級網路釣魚攻擊聯合資安公告content.govdelivery.comCISA Known Exploited Vulnerabilities（官方資料，2026.11.03 版）raw.githubusercontent.com
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。