Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-93641 (główne) + CVE-2026-93642, CVE-2026-93647 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-25 |
| Producent | Zimbra |
| Produkt | Collaboration Suite |
| CVSS Score | 9.3 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Wpis zbiorczy. Opisujemy tu 3 podatności stored XSS w interfejsie webowym Zimbra, opublikowane razem w Zimbra Security Advisories. Wszystkie usuwa ta sama aktualizacja. Osobno opisujemy CVE-2026-93643 (wykonanie poleceń przez integrację OnlyOffice), które ma własny alert.
Opis podatności
Źródło: NVD (CNA: Rapid7)
- CVE-2026-93641 (9.3) — nieuwierzytelniony nadawca może sfałszować powiadomienie o udostępnieniu (share notification), które uruchamia stored XSS, gdy zalogowany odbiorca w Zimbra Classic kliknie „Accept Share”.
- CVE-2026-93642 (9.3) — ten sam mechanizm w interfejsie Zimbra Modern: sfałszowane powiadomienie o udostępnieniu uruchamia stored XSS po kliknięciu „Accept Share”.
- CVE-2026-93647 (9.3) — nieuwierzytelniony nadawca zaproszenia kalendarza może umieścić aktywny kod w adresie RFC From wiadomości COUNTER. Samo zaznaczenie wiadomości w Zimbra Classic uruchamia stored XSS.
We wszystkich trzech przypadkach atakujący uzyskuje dostęp do danych skrzynki pocztowej i może działać w imieniu ofiary. Do ataku wystarczy wysłanie wiadomości e-mail — nadawca nie potrzebuje konta na serwerze.
Wymagane działania
Zainstaluj najnowszy patch Zimbra opublikowany w Zimbra Security Advisories dla używanej linii wersji. Do czasu aktualizacji uprzedź użytkowników, by nie akceptowali nieoczekiwanych udostępnień, i rozważ filtrowanie na bramce pocztowej wiadomości z nietypową zawartością w nagłówku From. Po aktualizacji przejrzyj reguły przekierowań i filtry w skrzynkach (typowy ślad przejęcia konta przez XSS) oraz aktywne sesje użytkowników.
Kogo dotyczy?
Podatności dotyczą serwerów pocztowych Zimbra Collaboration Suite — zarówno interfejsu Classic, jak i Modern. Zimbra jest popularna w polskiej administracji publicznej, uczelniach i firmach utrzymujących własną pocztę; w przeszłości podatności XSS w Zimbra były wykorzystywane w kampaniach szpiegowskich wymierzonych w instytucje europejskie.
Źródła
- NVD - CVE-2026-93641
- NVD - CVE-2026-93642
- NVD - CVE-2026-93647
- Zimbra Security Advisories
- FIRST EPSS
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
