Luka w Zimbra Collaboration Suite pozwala użyć serwera pocztowego do zapytań w głąb sieci firmy, gdy działa dodatek WebEx z JSP. CISA potwierdza ataki. Sprawdź łatę i dodatki, zaktualizuj do 8.8.15 P7.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują własny serwer poczty Zimbra Collaboration Suite. Werdykt: jeśli serwer ma wersję starszą niż 8.8.15 z łatą 7, a zainstalowany jest dodatek WebEx z włączoną obsługą JSP, zaktualizuj serwer lub usuń dodatek dziś, bo ta sześcioletnia luka jest teraz aktywnie wykorzystywana.
Amerykańska agencja CISA 17 lutego 2026 roku dopisała podatność CVE-2020-7796 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd opisano już w lutym 2020 roku, ale dopiero sześć lat później potwierdzono jego użycie w atakach. Dotyczy serwera poczty Zimbra i pozwala napastnikowi z internetu zmusić serwer pocztowy do wysyłania zapytań do innych systemów, w tym tych ukrytych w sieci wewnętrznej firmy.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 10 marca 2026 roku. Luka działa tylko przy dwóch warunkach naraz: zainstalowanym dodatku (zimlecie) WebEx i włączonej obsłudze zimletów JSP. W wielu firmach nikt nie wie z pamięci, jakie dodatki są zainstalowane, więc do czasu sprawdzenia trzeba zakładać, że warunki są spełnione.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2020-7796 |
Data dodania do CISA KEV | 2026-02-17 |
Termin naprawy wg CISA | 2026-03-10 |
Produkt | Zimbra Collaboration Suite (ZCS), w katalogu CISA i NVD pod nazwą producenta Synacor |
Wersje zagrożone | Wszystkie wydania starsze niż 8.8.15 oraz 8.8.15 bez łaty i z łatami od 1 do 6, ale tylko gdy zainstalowany jest zimlet WebEx i włączona jest obsługa zimletów JSP |
Wersje bezpieczne | 8.8.15 z łatą 7 (8.8.15 Patch 7) i nowsze. NVD nie wymienia jako podatnych późniejszych linii produktu; najnowszą wersję podaje producent |
Typ podatności | Fałszowanie żądań po stronie serwera (SSRF); CWE-918 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). NVD w starszej skali: 6.8 (CVSS 2.0, ŚREDNIA). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Uwaga: odpowiedź „mamy wersję 8.8.15” niczego nie rozstrzyga, bo ten sam numer obejmuje instalacje podatne (łaty 1 do 6) i naprawione (łata 7 i nowsze). Liczy się numer łaty.
Wyobraź sobie magazyn, do którego dzwoni ktoś z zewnątrz i prosi o wydanie towaru. Magazynier odmawia, bo nie zna rozmówcy. Ten sam telefon wykonany z wewnętrznego numeru prezesa nie budzi już wątpliwości, bo magazynier rozpoznaje numer, a nie osobę. Luka SSRF pozwala przestępcy „zadzwonić” z wewnętrznego numeru: prosi serwer pocztowy, żeby to on wysłał zapytanie, a systemy w firmie widzą zaufanego nadawcę.
W wielu firmach wewnętrzne panele routerów, kopii zapasowych czy serwerów plików wpuszczają bez hasła albo z hasłem domyślnym każdego, kto łączy się z sieci lokalnej. Taka reguła miała sens, gdy do sieci lokalnej dało się wejść tylko z krzesła w biurze. Przy serwerze pocztowym dostępnym z internetu i podatnym na SSRF przestaje chronić.
💡 Zimlet to dodatek rozszerzający funkcje poczty Zimbra. JSP (JavaServer Pages) to technologia, w której część dodatków działa na serwerze. SSRF (Server-Side Request Forgery) to atak, w którym napastnik zmusza serwer do wysłania zapytania pod wskazany adres. Łata (patch) to paczka poprawek do danej wersji. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Napastnik z internetu próbuje wejść do panelu routera w biurze | Panel jest niewidoczny z zewnątrz | Serwer pocztowy może wysłać zapytanie w jego imieniu |
Systemy wewnętrzne ufające sieci lokalnej | Dostęp mają tylko pracownicy w biurze | Dostęp zyskuje każdy, kto wykorzysta serwer pocztowy |
Rozpoznanie sieci firmy | Wymaga wcześniejszego włamania | Możliwe z zewnątrz, adres po adresie |
Analiza logów po incydencie | Obcy adres łatwo zauważyć | Ruch wygląda jak praca własnego serwera pocztowego |
Nieużywany dodatek WebEx | Wydaje się nieszkodliwy | Jest warunkiem ataku |
źródło: Pexels, Pedro SilvaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Ocena CISA towarzysząca wpisowi mówi o ataku możliwym do zautomatyzowania, więc serwery Zimbra dostępne z internetu są sprawdzane masowo, bez wybierania ofiar.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów Zimbra z dostępnym interfejsem WWW i dodatkiem WebEx | Lista potencjalnych celów |
2. Wymuszenie zapytania | T+5 do 15 min | Wysłanie spreparowanego żądania, w którym serwer ma odwiedzić wskazany adres | Serwer pocztowy działa jako pośrednik napastnika |
3. Mapowanie sieci | T+15 min do kilku godzin | Odpytywanie kolejnych adresów wewnętrznych i usług | Lista paneli, serwerów i urządzeń w sieci firmy |
4. Wykorzystanie zaufania | T+kilka godzin do 2 dni | Dostęp do paneli bez hasła lub z hasłem domyślnym, odczyt danych konfiguracyjnych | Pierwsze dane i dostęp do systemów wewnętrznych |
5. Rozszerzenie dostępu | T+2 do 14 dni | Przejęcie kolejnych systemów, np. kopii zapasowych lub serwera plików | Szeroki dostęp w firmie |
6. Kradzież lub sabotaż | T+2 do 6 tygodni | Kopiowanie dokumentów, zmiany w konfiguracji, ewentualne szyfrowanie | Wyciek danych lub przestój |
Mogę Ci jakoś pomóc?
Serwer pocztowy stoi zwykle w tej samej sieci co serwer plików, kopie zapasowe i urządzenia sieciowe, a do tego jest dostępny z internetu. Luka SSRF zamienia go w pośrednika, który przenosi napastnika za zaporę. Skutki zależą od tego, jak bardzo systemy wewnętrzne ufają sieci lokalnej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmienione ustawienia urządzeń sieciowych, zakłócenia poczty i systemów wewnętrznych | Dni | 20 tys. do 200 tys. PLN (przestój, odtworzenie konfiguracji) |
Bezpieczeństwo danych | Wyciek dokumentów i danych konfiguracyjnych z systemów wewnętrznych | Dni do tygodni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, trudniejsza przez „zaufany” ruch) |
Finansowy | Koszty zewnętrznych specjalistów, ewentualny szantaż | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów powierzających firmie dokumenty | Miesiące | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); w zawodach zaufania publicznego dodatkowo tajemnica zawodowa | 72 godziny od wykrycia | 15 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Zimbra starszego niż 8.8.15 P7
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE (WebEx + JSP włączone)
3 | . . . . .
2 | □ . . . . ← NISKIE (brak dodatku WebEx lub JSP)
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: gdy oba warunki są spełnione, ryzyko jest wysokie (potwierdzone i automatyzowalne ataki, dostęp do sieci wewnętrznej); skutek zależy od tego, ile systemów wewnętrznych ufa sieci lokalnej. Bez dodatku WebEx lub z wyłączonym JSP ta konkretna luka nie działa, ale stara wersja Zimbry zwykle ma też inne podatności.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Zimbry razem z numerem łaty | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy zainstalowany jest zimlet WebEx i czy włączona jest obsługa zimletów JSP | Dziś | Administrator poczty |
3 | 🔴 NATYCHMIAST | Jeśli oba warunki są spełnione, a aktualizacja nie jest możliwa od ręki: usunąć lub wyłączyć zimlet WebEx | Dziś | Administrator poczty |
4 | 🟠 PILNIE | Zaktualizować serwer co najmniej do 8.8.15 Patch 7, a najlepiej do najnowszej wspieranej wersji | Do 7 dni | Administrator / partner IT |
5 | 🟠 PILNIE | Przejrzeć logi serwera pocztowego pod kątem połączeń wychodzących do adresów wewnętrznych | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wymienić hasła domyślne i włączyć logowanie w wewnętrznych panelach (router, kopie zapasowe, serwer plików) | Do 30 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Spisać i usunąć wszystkie nieużywane dodatki w systemach firmowych | Do 30 dni | CTO |
Producent wydał poprawkę w 8.8.15 Patch 7, więc docelowo trzeba ją zainstalować. Do tego czasu ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie lub wyłączenie zimletu WebEx | Wysoka: usuwa jeden z dwóch warunków ataku | Łatwa, jeśli integracja z WebEx nie jest używana |
Wyłączenie obsługi zimletów JSP | Wysoka: usuwa drugi warunek ataku | Średnia: może wyłączyć inne dodatki oparte na JSP |
Blokada połączeń wychodzących z serwera pocztowego do sieci wewnętrznej, poza niezbędnymi | Średnia: ogranicza zasięg ataku | Średnia: wymaga zmian na zaporze |
Hasła i logowanie w wewnętrznych panelach | Średnia: odbiera korzyść z „zaufanego” adresu | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Zimbry | Starsza niż 8.8.15 Patch 7 | 8.8.15 Patch 7 lub nowsza |
Dodatki na serwerze | Nieznana lista, w tym WebEx | Spis dodatków, nieużywane usunięte |
Zaufanie do sieci lokalnej | Panele bez hasła lub z hasłem domyślnym | Każdy panel wymaga logowania |
Połączenia serwera pocztowego | Może łączyć się z dowolnym adresem wewnętrznym | Tylko z niezbędnymi usługami |
Zgodność z terminem CISA | Zaległość od 10 marca 2026 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 6.8 ŚREDNIA wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Komunikat producenta | Brak osobnego biuletynu; poprawka opisana w notatkach wydania 8.8.15 Patch 7 |
Prognoza EPSS | 0,84418, górna jedna trzecia procenta wszystkich podatności, stabilnie od końca lipca 2026 roku (wg analizy źródłowej) |
Rozbieżność 9.8 i 6.8 wynika z dwóch wersji tej samej skali. Stare narzędzia skanujące mogą pokazać tę lukę jako „średnią”, dlatego przy raportach ze skanowania warto sprawdzić, w której skali liczono wynik.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2020-7796
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 2.0 (NVD) 6.8/10 ██████████████░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~84% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2020-02-18 Publikacja CVE-2020-7796 w NVD (poprawka w 8.8.15 Patch 7)
... sześć lat bez potwierdzonego wykorzystania
2026-02-17 CISA dodaje lukę do katalogu KEV
2026-03-10 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Notatki wydania z poprawką: wiki.zimbra.com: Zimbra Releases 8.8.15 P7 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2020-7796 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma utrzymuje własny serwer Zimbra (także u partnera IT) | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji z numerem łaty oraz o zimlecie WebEx i obsłudze JSP | CTO | DZISIAJ |
3 | Zatwierdzić usunięcie zimletu WebEx, jeśli integracja nie jest używana | CTO | DZISIAJ |
4 | Zatwierdzić termin aktualizacji serwera pocztowego | CTO | DO JUTRA |
5 | Zlecić przegląd wewnętrznych paneli bez hasła lub z hasłem domyślnym | CTO | DO JUTRA |
6 | Zarezerwować budżet na aktualizację lub migrację starej instalacji poczty | CFO | DO JUTRA |
7 | Sprawdzić, czy utrzymanie własnej poczty jest nadal tańsze od usługi z gwarantowanymi aktualizacjami | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja Zimbry razem z numerem łaty? | [wersja i łata] | 🔴 |
2 | Czy zainstalowany jest zimlet WebEx? | TAK / NIE | 🔴 |
3 | Czy włączona jest obsługa zimletów JSP? | TAK / NIE | 🔴 |
4 | Kiedy planujemy aktualizację do 8.8.15 Patch 7 lub nowszej wersji? | [data] | 🔴 |
5 | Czy logi pokazują połączenia serwera pocztowego do adresów wewnętrznych, których nie potrafimy wyjaśnić? | TAK / NIE | 🟠 |
6 | Które wewnętrzne panele wpuszczają bez hasła lub z hasłem domyślnym? | [lista] | 🟠 |
7 | Czy mamy spis wszystkich dodatków zainstalowanych w systemach firmowych? | TAK / NIE | 🟡 |
CVE-2020-7796 pozwala zmusić serwer poczty Zimbra do wysyłania zapytań w głąb sieci firmy, jeśli zainstalowany jest dodatek WebEx z obsługą JSP. Luka ma sześć lat, ale CISA potwierdziła jej wykorzystanie w 2026 roku, więc sprawdzenie wersji, łaty i dodatków to zadanie na dziś, a aktualizacja i uszczelnienie wewnętrznych paneli na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.