Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-93643 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-25 |
| Producent | Zimbra |
| Produkt | Collaboration Suite |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD (CNA: Rapid7)
Gdy dostępna jest funkcja edycji dokumentów OnlyOffice (Document Editing), nieuwierzytelniony zdalny atakujący, mający dostęp do istniejącego, obsługiwanego publicznego dokumentu w Briefcase, może nadużyć niepodpisanych pól zapisu do zapisu plików z wykorzystaniem path traversal i wykonania poleceń z uprawnieniami użytkownika systemowego zimbra.
Podatność łączy path traversal (CWE-22) z brakiem autoryzacji (CWE-863). Wykonanie poleceń jako zimbra oznacza w praktyce przejęcie serwera pocztowego wraz z dostępem do skrzynek wszystkich użytkowników.
Wymagane działania
Zainstaluj najnowszy patch Zimbra opublikowany w Zimbra Security Advisories dla używanej linii wersji. Do czasu aktualizacji wyłącz integrację OnlyOffice / Document Editing albo cofnij publiczne udostępnienia dokumentów w Briefcase. Po aktualizacji sprawdź katalogi instalacji Zimbra pod kątem nieznanych plików (zwłaszcza JSP i skryptów) oraz logi pod kątem nietypowych żądań zapisu dokumentów.
Kogo dotyczy?
Podatność dotyczy serwerów pocztowych Zimbra Collaboration Suite z włączoną integracją edycji dokumentów OnlyOffice i publicznie udostępnionymi dokumentami w Briefcase. Zimbra jest popularna w polskiej administracji publicznej, uczelniach i firmach utrzymujących własną pocztę — serwery Zimbra z interfejsem webowym dostępnym z internetu traktuj priorytetowo.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
