Stara Zimbra bez łat z 2019 roku pozwala bez logowania użyć serwera poczty do odczytu zasobów w sieci firmy. CISA potwierdza ataki, narzędzia są publiczne. Sprawdź wersję z numerem łaty i zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują pocztę, kalendarze i kontakty na własnym serwerze Zimbra Collaboration Suite. Werdykt: jeśli Zimbra działa na starej wersji bez łat producenta z 2019 roku, zaktualizuj ją dziś do wspieranej wersji, bo CISA potwierdza wykorzystanie tej luki, a gotowe narzędzia ataku są publiczne od lat.
Amerykańska agencja CISA 7 lipca 2025 roku dopisała do katalogu KEV podatność CVE-2019-9621 w Zimbra Collaboration Suite. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Luka ma ponad sześć lat, a kod ją wykorzystujący jest publiczny od 2019 roku.
Błąd dotyczy komponentu pośredniczącego ProxyServlet, który pobiera zasoby w imieniu użytkownika. W podatnych wydaniach dało się mu podsunąć dowolny adres, a on go odwiedzał i zwracał wynik. To fałszowanie żądań po stronie serwera (SSRF). Napastnik z internetu, bez konta, może w ten sposób „poprosić” serwer pocztowy stojący w środku sieci firmy o odczytanie zasobów, do których sam nie ma dostępu. Publiczne moduły ataku łączą tę lukę z błędem XXE w usłudze Autodiscover, co prowadzi do wykonania kodu na serwerze.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 28 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2019-9621 |
Data dodania do CISA KEV | 2025-07-07 |
Termin naprawy wg CISA | 2025-07-28 (21 dni od wpisu) |
Produkt | Synacor Zimbra Collaboration Suite (ZCS), serwer poczty i pracy grupowej, komponent ProxyServlet |
Wersje zagrożone | 8.6.x przed łatą 13; 8.7.x przed 8.7.11 z łatą 10; 8.8.x przed 8.8.10 z łatą 7 lub przed 8.8.11 z łatą 3. Liczy się numer łaty, nie tylko wersji |
Wersje bezpieczne | Pierwsze poprawione: 8.6.0 Patch 13, 8.7.11 Patch 10, 8.8.10 Patch 7, 8.8.11 Patch 3 (marzec i kwiecień 2019). Gałęzie 8.x są stare, dlatego docelowo zalecana jest aktualna, wspierana wersja Zimbra wskazana przez producenta |
Typ podatności | Fałszowanie żądań po stronie serwera (SSRF); CWE-918 (NVD, KEV) oraz CWE-807, poleganie na niezaufanych danych w decyzji o bezpieczeństwie (KEV) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, NVD i CISA zgodnie; naruszona poufność). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie biurowiec z portiernią. Obcy nie wejdzie dalej niż do recepcji, ale może poprosić gońca, który ma przepustkę do całego budynku. Goniec nie pyta, po co ma iść. Na prośbę „proszę przejść na drugie piętro, przeczytać, co wisi na tablicy w dziale finansowym, i mi powtórzyć” idzie, czyta i wraca z odpowiedzią. Obcy nie przekroczył bramki, a wie wszystko.
Tak działał ten błąd. Serwer pocztowy Zimbra stoi w środku sieci i widzi rzeczy niewidoczne z internetu: panele urządzeń, drukarki, kamery, serwery plików, wewnętrzne serwisy „bez hasła, bo są tylko w środku”. Komponent ProxyServlet był takim gońcem. Napastnik podawał mu wewnętrzny adres, a serwer pobierał zawartość i ją oddawał. W ten sposób można spokojnie zbudować mapę sieci firmy i odczytać wrażliwe dane.
💡 SSRF (Server-Side Request Forgery) to sytuacja, w której napastnik zmusza serwer do wysłania żądania pod wskazany adres, najczęściej w głąb sieci wewnętrznej. XXE to błąd w przetwarzaniu dokumentów XML, który może ujawnić pliki serwera. Łata (patch) to poprawka nakładana na konkretną wersję; w Zimbrze ta sama wersja może być bezpieczna albo podatna w zależności od numeru łaty. Segmentacja sieci to podział sieci na strefy z ograniczonym dostępem. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba próbuje dostać się do sieci firmy | Blokuje ją zapora | Prosi serwer pocztowy, żeby zrobił to za nią |
Wewnętrzne panele bez haseł | Niewidoczne z internetu | Dostępne pośrednio przez serwer pocztowy |
Logi dostępu do systemów wewnętrznych | Pokazują nieznane adresy | Pokazują zaufany adres własnego serwera pocztowego |
Pytanie „jaką macie Zimbrę?” | Odpowiedź „8.7.11” wystarcza | Bez numeru łaty odpowiedź nic nie mówi |
Miesięczna aktualizacja systemu Linux | Zamyka większość luk | Nie usuwa tej luki, bo Zimbra nie pochodzi z repozytorium systemu |
źródło: Pexels, BOOM PhotographyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery poczty są z definicji dostępne z internetu, a CISA ocenia atak jako możliwy do zautomatyzowania, ze skutkiem technicznym częściowym. Publiczne narzędzia (Exploit-DB, moduł Metasploit) łączą tę lukę z błędem XXE, co prowadzi do przejęcia serwera.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie serwerów Zimbra i ustalanie wersji | Lista podatnych serwerów |
2. Nadużycie SSRF | T+kilka minut | Przesyłanie przez ProxyServlet żądań do adresów wewnętrznych | Odpowiedzi z systemów w środku sieci |
3. Mapowanie sieci | T+godziny | Odpytywanie kolejnych adresów, zapis wersji i paneli logowania | Mapa sieci firmy i słabych punktów |
4. Przejęcie serwera | T+godziny | Połączenie SSRF z błędem XXE w publicznym module ataku | Wykonanie kodu na serwerze Zimbra |
5. Kradzież danych | T+dni | Pobieranie skrzynek pocztowych, kontaktów i danych z systemów wewnętrznych | Wyciek korespondencji i dokumentów |
6. Dalszy atak | T+tygodnie | Ataki na panele z domyślnymi hasłami, serwery plików, kopie zapasowe | Szersze włamanie, możliwy szantaż |
Mogę Ci jakoś pomóc?
Serwer pocztowy jest wystawiony na internet i jednocześnie ma dostęp do wnętrza sieci. Luka nie wymaga hasła, a gotowe narzędzia istnieją od 2019 roku. Rozpoznanie przez SSRF niczego nie psuje, więc firma może nie zauważyć ataku przez tygodnie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty serwer poczty, konieczność migracji do nowej wersji w trybie awaryjnym | Dni | 30 tys. do 250 tys. PLN (migracja, przestój poczty) |
Bezpieczeństwo danych | Wyciek poczty, kontaktów i danych z systemów wewnętrznych | Godziny do tygodni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na podstawie przeczytanej korespondencji, koszty specjalistów | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, których korespondencja wyciekła | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Zimbra ZCS
bez łat producenta z 2019 roku
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez logowania, zautomatyzowany, publiczne narzędzia od 2019 roku, potwierdzone wykorzystanie), a wpływ samej luki średni, bo dotyczy poufności (CISA: skutek częściowy); w połączeniu z błędem XXE wpływ rośnie do przejęcia serwera. Firma z aktualną Zimbrą i podzieloną siecią jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić pełną wersję Zimbra razem z numerem łaty | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Jeśli wersja jest poniżej progów z sekcji 1: zaplanować aktualizację do wspieranej wersji i do tego czasu ograniczyć dostęp do serwera z internetu | Dziś | Administrator poczty / partner IT |
3 | 🟠 PILNIE | Zaktualizować Zimbra zgodnie z komunikatami producenta (Security Center) | Do 3 dni | Administrator poczty |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem włamania: nieznane pliki w katalogach aplikacji, nowe konta, nietypowe procesy | Do 7 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Ograniczyć ruch wychodzący serwera pocztowego do sieci wewnętrznej tylko do niezbędnych systemów | Do 7 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Dodać hasła do wewnętrznych paneli (drukarki, kamery, macierze), które dziś są „tylko w środku” | Do 30 dni | Administrator IT |
7 | 🟡 WAŻNIE | Rozdzielić w spisie oprogramowania programy aktualizowane z systemem od instalowanych osobno | Do 30 dni | CTO |
Producent wydał łaty w 2019 roku, a aktualizacja systemu operacyjnego jej nie zastąpi, bo Debian, Ubuntu i Red Hat nie dostarczają Zimbry. Jeśli migracja do nowej wersji wymaga czasu, pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Segmentacja sieci: serwer poczty w osobnej strefie bez dostępu do paneli wewnętrznych | Wysoka: ogranicza skutki SSRF | Średnia |
Ograniczenie dostępu do interfejsów Zimbra z internetu (np. tylko webmail przez odwrotne proxy z filtrowaniem) | Średnia | Średnia |
Hasła na wszystkich wewnętrznych panelach administracyjnych | Średnia: SSRF widzi mniej | Łatwa |
Monitorowanie żądań wychodzących z serwera pocztowego do sieci wewnętrznej | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Zimbra | Stara, bez łat z 2019 roku | Aktualna, wspierana, z pełnym numerem łaty w dokumentacji |
Dostęp serwera poczty do sieci | Do wszystkiego | Tylko do niezbędnych systemów |
Wewnętrzne panele | Bez haseł lub z domyślnymi | Zabezpieczone hasłami |
Proces aktualizacji | Tylko system operacyjny | System i osobno aplikacja Zimbra |
Zgodność z wymogami | Zaległość wobec terminu CISA z 28 lipca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | TAK, Exploit-DB 46693 oraz moduł Metasploit łączący XXE i SSRF w Zimbrze, publiczne od 2019 roku |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | TAK (ocena CISA), skutek techniczny częściowy |
Źródło poprawki | Wyłącznie producent Zimbra; dystrybucje Linux jej nie dostarczają |
Prognoza EPSS | Około 0,81, górne pół procenta wszystkich podatności, stabilnie od miesięcy (wg analizy źródłowej) |
Sześć lat między publicznym narzędziem ataku a wpisem do katalogu CISA pokazuje, że data wpisu mówi, kiedy instytucja zjawisko odnotowała, a nie kiedy zaczęło się zagrożenie.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2019-9621
CVSS 3.1 (NVD/CISA) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~81% ████████████████░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny exploit TAK ████████████████████ od 2019 roku
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2019-03-13 Ujawnienie luki, Zimbra publikuje łaty (blog producenta)
2019-04 Publiczny kod ataku w Exploit-DB i moduł Metasploit
2019-04-30 Publikacja CVE-2019-9621 w NVD
... ponad 6 lat publicznie dostępnych narzędzi
2025-07-07 CISA dodaje lukę do katalogu KEV
2025-07-28 Termin naprawy wg CISA dla agencji federalnych
... prawie 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikaty bezpieczeństwa producenta: Zimbra Security Advisories oraz Zimbra Security Center . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2019-9621 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca poczty używa Zimbra | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: pełna wersja z numerem łaty i data ostatniej aktualizacji Zimbry | CTO | DZISIAJ |
3 | Zatwierdzić ograniczenie dostępu z internetu do czasu aktualizacji | CTO | DZISIAJ |
4 | Zatwierdzić plan migracji do wspieranej wersji Zimbra | CTO | DO JUTRA |
5 | Zlecić sprawdzenie serwera pod kątem włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na migrację i ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z partnerem IT obejmuje aktualizacje aplikacji, a nie tylko systemu | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest pełna wersja Zimbra z numerem łaty? | [wersja] | 🔴 |
2 | Kiedy ostatnio aktualizowano samą Zimbrę, a nie system operacyjny? | [data] | 🔴 |
3 | Czy serwer Zimbra ma dostęp sieciowy do drukarek, kamer, macierzy i paneli administracyjnych? | TAK / NIE | 🔴 |
4 | Czy sprawdziliśmy serwer pod kątem nieznanych plików i kont? | TAK / NIE | 🟠 |
5 | Czy wewnętrzne panele administracyjne mają ustawione hasła? | TAK / NIE | 🟠 |
6 | Czy monitorujemy ruch z serwera pocztowego do sieci wewnętrznej? | TAK / NIE | 🟠 |
7 | Czy nasz spis oprogramowania zawiera pełne numery wersji i łat? | TAK / NIE | 🟡 |
CVE-2019-9621 pozwala bez logowania wykorzystać serwer Zimbra jako pośrednika do odczytu zasobów w sieci wewnętrznej firmy, a publiczne narzędzia łączą ją z błędem XXE do przejęcia serwera. Łaty istnieją od 2019 roku, CISA potwierdza ataki, a aktualizacja systemu Linux tej luki nie usuwa, więc sprawdzenie wersji z numerem łaty i aktualizacja Zimbry to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.