Błąd w Zimbra Collaboration pozwala bez logowania wyciągać pliki z katalogu aplikacji poczty. CISA potwierdza ataki, obejścia nie ma. Sprawdź, czy serwer ma wersję 10.0.18 lub 10.1.13 albo nowszą, i przejrzyj logi.
Ten alert jest dla zarządu, CTO i CFO firm, które trzymają pocztę na własnym serwerze Zimbra Collaboration (ZCS). Werdykt: jeśli Twój serwer ma wersję niższą niż 10.0.18 w linii 10.0 albo niższą niż 10.1.13 w linii 10.1, zaktualizuj go w najbliższym możliwym oknie, bo obejścia nie ma, a CISA potwierdza wykorzystanie luki w atakach.
Amerykańska agencja CISA 22 stycznia 2026 roku dopisała podatność CVE-2025-68645 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Termin naprawy dla agencji federalnych minął 12 lutego 2026 roku.
Błąd pozwala osobie z internetu, bez konta na serwerze, wysłać spreparowane żądania do adresu kończącego się na /h/rest i zmusić serwer do dołączenia do odpowiedzi plików z katalogu aplikacji internetowej. To mogą być pliki konfiguracyjne i elementy wewnętrzne, które pomagają przygotować kolejny, celniejszy atak. Producent naprawił błąd w wersjach wydanych 6 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-68645 |
Data dodania do CISA KEV | 2026-01-22 |
Termin naprawy wg CISA | 2026-02-12 (21 dni od wpisu) |
Produkt | Synacor Zimbra Collaboration Suite (ZCS), interfejs Webmail Classic UI, komponent RestFilter |
Wersje zagrożone | ZCS od 10.0.0 do wersji przed 10.0.18 oraz od 10.1.0 do wersji przed 10.1.13 |
Wersje bezpieczne | 10.0.18 i 10.1.13 (obie z 6 listopada 2025 roku) i nowsze. Najnowsze wydanie w dzienniku producenta: 10.1.20 z 20 lipca 2026 roku |
Typ podatności | Dołączanie plików (NVD: Local File Inclusion; CISA KEV: „PHP Remote File Inclusion”), bez uwierzytelnienia; CWE-98 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, ocena uzupełniająca CISA; NVD nie nadał własnej). Wektor zakłada udział użytkownika, choć opis mówi o napastniku zdalnym bez logowania; do planowania rozsądniej przyjąć groźniejszy wariant |
Wyobraź sobie urząd z okienkiem podawczym. Gość prosi o „formularz numer trzy”. Urzędniczka nie sprawdza, czy numer trzy to na pewno formularz, tylko idzie do szafy, liczy trzecią teczkę i podaje ją przez okienko. Trzecia teczka okazuje się aktami kadrowymi. Nikt nie złamał zamka, wystarczyło poprosić o coś w sposób, na który procedura nie była przygotowana.
Tak działał ten błąd w Zimbrze. Aplikacja poczty w przeglądarce decyduje, który jej fragment ma odpowiedzieć na żądanie, na podstawie tego, co przyszło w żądaniu. Przy adresie /h/rest nie sprawdzała tego dokładnie, więc dało się ją nakłonić, żeby dołączyła do odpowiedzi plik, którego nigdy nie miała pokazywać. Zakres to katalog aplikacji internetowej, a nie cały dysk, ale nawet tam leżą informacje przydatne napastnikowi.
💡 Dołączanie plików (file inclusion) to błąd, w którym aplikacja wczytuje i zwraca plik wskazany przez napastnika. WebRoot to katalog, z którego aplikacja internetowa serwuje swoje strony i zasoby. CWE-98 to kategoria błędów dołączania plików, formalnie opisana dla języka PHP, choć tu komponent działa w Javie. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obce żądanie do /h/rest bez logowania | Odrzucone lub zwykła odpowiedź | Może zwrócić wewnętrzny plik aplikacji |
Pliki konfiguracyjne aplikacji | Niedostępne z zewnątrz | Mogą trafić do napastnika |
Przygotowanie kolejnego ataku | Napastnik zgaduje, jak zbudowano system | Ma wgląd w wewnętrzne elementy serwera |
Administrator szuka luki po nazwie „PHP” | Szuka po numerze CVE i wersji | Może uznać, że go nie dotyczy, bo „u nas nie ma PHP” |
Obowiązki wobec klientów | Brak incydentu | Trzeba ocenić, czy doszło do naruszenia i czy je zgłosić |
źródło: Pexels, Amar PreciadoPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Poczta przez przeglądarkę jest z założenia dostępna z internetu, więc napastnik nie potrzebuje wcześniejszego dostępu. CISA ocenia, że atak nie jest łatwo automatyzowalny na masową skalę, co sugeruje raczej wybór konkretnych celów niż przeczesywanie całego internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów Zimbra i ustalenie wersji, wybór celu (np. kancelaria, przychodnia) | Lista podatnych serwerów |
2. Wyciąganie plików | T+kilka minut do godzin | Spreparowane żądania do /h/rest dołączające pliki z katalogu aplikacji | Pliki konfiguracyjne i wewnętrzne w rękach napastnika |
3. Analiza | T+1 do 3 dni | Przegląd pobranych plików pod kątem parametrów, nazw, wersji komponentów | Plan kolejnego kroku |
4. Kolejny atak | T+dni | Wykorzystanie zdobytej wiedzy do celniejszego ataku na serwer lub konta | Dostęp do skrzynek lub serwera |
5. Kradzież korespondencji | T+dni do tygodni | Czytanie i kopiowanie poczty z klientami | Wyciek poufnych danych |
6. Wykorzystanie danych | T+tygodnie | Szantaż, oszustwa na podmianę numeru konta, sprzedaż danych | Straty finansowe i obowiązki prawne |
Firmy wybierają własny serwer poczty, bo chcą trzymać wrażliwą korespondencję u siebie. Ceną jest to, że same odpowiadają za aktualizacje. Ta luka nie wymaga konta, jest wykorzystywana i nie ma obejścia, więc serwer w starej wersji jest otwarty tak długo, jak długo nikt go nie zaktualizuje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Awaryjna aktualizacja, ewentualna odbudowa serwera poczty, wymiana haseł | Dni | 10 tys. do 80 tys. PLN (praca IT, przerwa w poczcie) |
Bezpieczeństwo danych | Wyciek plików aplikacji, a w dalszym kroku poczty klientów | Godziny do tygodni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Oszustwa na podmianę rachunku, koszty obsługi incydentu | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów powierzających poufne informacje | Miesiące | 50 tys. do 500 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny, jeśli nie da się wykluczyć ryzyka dla danych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dodatkowo obowiązki zawodowe (tajemnica adwokacka, medyczna) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Zimbra < 10.0.18 / < 10.1.13
dostępnego z internetu
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko wysokie, bo luka nie wymaga konta, jest aktywnie wykorzystywana i nie ma obejścia, a na serwerze leży poufna korespondencja; nie maksymalne, bo bezpośrednio ujawnia pliki z katalogu aplikacji, a nie cały serwer.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Zimbry na serwerze | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Jeśli wersja jest niższa niż 10.0.18 lub 10.1.13: zaplanować i wykonać aktualizację, najlepiej do najnowszego wydania swojej linii | Dziś / najbliższe okno | Administrator poczty |
3 | 🟠 PILNIE | Przejrzeć logi serwera WWW pod kątem żądań do adresów kończących się na /h/rest z adresów spoza firmy, od listopada 2025 roku | Do 3 dni | Administrator / zespół bezpieczeństwa |
4 | 🟠 PILNIE | Jeśli są ślady: zmienić hasła i klucze zapisane w plikach konfiguracyjnych, ocenić obowiązek zgłoszenia do UODO | Do 7 dni | CTO / inspektor ochrony danych |
5 | 🟡 WAŻNIE | Wyznaczyć z imienia osobę odpowiedzialną za aktualizacje serwera poczty (wewnątrz lub u partnera IT) | Do 7 dni | Zarząd |
6 | 🟡 WAŻNIE | Ustalić stały, comiesięczny przegląd wersji i komunikatów bezpieczeństwa Zimbry | Do 30 dni | Kierownik IT |
Producent wydał poprawki w wersjach 10.0.18 i 10.1.13, ale nie opisał żadnego obejścia konfiguracyjnego. CISA dopuszcza tylko poprawkę, wytyczne dla usług chmurowych albo zaprzestanie używania produktu. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Aktualizacja do 10.0.18 / 10.1.13 lub nowszej | Wysoka: to właściwa poprawka | Średnia: wymaga okna serwisowego |
Ograniczenie dostępu do poczty przez przeglądarkę do sieci firmowej lub VPN | Średnia do wysokiej: zawęża krąg napastników | Średnia: utrudnia pracę spoza biura |
Blokada żądań do /h/rest na zaporze aplikacyjnej przed serwerem | Średnia: nie jest zaleceniem producenta i może zepsuć część funkcji | Średnia |
Wzmożone monitorowanie logów pod kątem żądań do /h/rest | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Zimbry | Nieznana lub starsza niż 10.0.18 / 10.1.13 | Aktualna, z poprawką |
Pliki aplikacji | Możliwe do wyciągnięcia bez logowania | Luka zamknięta |
Wiedza o włamaniu | Brak | Przejrzane logi i decyzja o dalszych krokach |
Odpowiedzialność za aktualizacje | „Robi to ta druga strona” | Konkretna osoba z imienia |
Rytm przeglądu | Raz na pół roku, przypadkiem | Co miesiąc, w kalendarzu |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). SSVC CISA z 23 stycznia 2026: wykorzystanie aktywne, wpływ techniczny całkowity, atak trudno automatyzowalny |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, ocena uzupełniająca CISA); brak własnej oceny NVD |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 1/3 szansy próby ataku w ciągu miesiąca, wyżej niż 98% znanych podatności (wg analizy źródłowej) |
Ostrzeżenia w Europie | Niemiecki CERT-Bund potwierdza te same wersje z poprawką |
Opis luki w rejestrach zawiera dwie sprzeczności: nazwa mówi o PHP, a komponent działa w Javie, a wektor oceny zakłada udział użytkownika, choć opis mówi o ataku bez logowania. Jedynym pewnym kryterium jest numer CVE i numer wersji serwera.
Sygnały zagrożenia dla CVE-2025-68645
CVSS 3.1 (CISA) 8.8/10 █████████████████░░░ WYSOKA
EPSS ~33% ██████░░░░░░░░░░░░░░ powyżej 98% luk
Obejście bez aktual. BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-11-06 Zimbra wydaje ZCS 10.0.18 i 10.1.13 z poprawką
2025-12-22 Publikacja CVE-2025-68645
2026-01-22 CISA dodaje lukę do katalogu KEV
2026-01-23 CISA ocenia wykorzystanie jako aktywne (SSVC)
2026-02-12 Termin naprawy wg CISA dla agencji federalnych
2026-07-20 Zimbra wydaje ZCS 10.1.20 (najnowsze wydanie w dzienniku producenta)
2026-09-17: TUTAJ JESTEŚMY Centrum bezpieczeństwa producenta z listą wydań: wiki.zimbra.com/wiki/Security_Center . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-68645 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) utrzymuje własny serwer Zimbra | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji ZCS na serwerze | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na aktualizację, jeśli wersja jest podatna | CTO | DZISIAJ |
4 | Zlecić przegląd logów pod kątem żądań do /h/rest | CTO | DO JUTRA |
5 | Przygotować z inspektorem ochrony danych ścieżkę decyzji o zgłoszeniu naruszenia | CFO | DO JUTRA |
6 | Wyznaczyć osobę odpowiedzialną za aktualizacje poczty i zapisać to w umowie z partnerem IT | CFO | DO JUTRA |
7 | Porównać koszt utrzymania własnej poczty z usługą, w której aktualizacje wykonuje dostawca | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką dokładnie wersję Zimbry mamy na serwerze? | [wersja] | 🔴 |
2 | Czy wersja jest co najmniej 10.0.18 lub 10.1.13? | TAK / NIE | 🔴 |
3 | Kiedy ostatnio aktualizowano serwer poczty? | [data] | 🔴 |
4 | Czy w logach widać żądania do /h/rest z adresów spoza firmy? | TAK / NIE | 🟠 |
5 | Czy poczta przez przeglądarkę jest dostępna z całego internetu? | TAK / NIE | 🟠 |
6 | Jakie hasła i klucze są zapisane w plikach konfiguracyjnych serwera i czy da się je szybko zmienić? | [lista], TAK / NIE | 🟡 |
7 | Kto z imienia odpowiada za aktualizacje serwera poczty? | [imię i nazwisko] | 🟡 |
CVE-2025-68645 pozwala bez logowania wyciągać pliki z katalogu aplikacji serwera poczty Zimbra, co otwiera drogę do dalszych ataków na korespondencję. CISA potwierdza wykorzystanie, obejścia nie ma, a poprawka jest dostępna od listopada 2025 roku w wersjach 10.0.18 i 10.1.13. Zadanie na dziś: sprawdzić wersję i zaplanować aktualizację, a potem przejrzeć logi.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.