Luka XSS w interfejsie Classic UI serwera pocztowego Zimbra pozwala wykonać kod w sesji użytkownika po samym wyświetleniu wiadomości. CISA potwierdza ataki. Zaktualizuj do 10.1.4, 10.0.12 lub najnowszych poprawek 9.0 i 8.8.15.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują pocztę na własnym serwerze Zimbra Collaboration. Werdykt: jeśli serwer nie ma wersji 10.1.4, 10.0.12, 9.0.0 Patch 43 lub 8.8.15 Patch 47 (albo nowszej), zaktualizuj go dziś, bo do przejęcia sesji skrzynki wystarczy, że pracownik otworzy spreparowaną wiadomość, a CISA potwierdza ataki.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała podatność CVE-2025-48700 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. W katalogu producent figuruje jako Synacor, choć produkt i jego dokumentacja funkcjonują pod marką Zimbra, więc wyszukiwanie po nazwie produktu bywa zawodne.
Błąd dotyczy starszego interfejsu przeglądarkowego Zimbry, Classic UI. Filtr, który przed wyświetleniem maila w HTML usuwa z niego wszystko, co mogłoby się uruchomić, dawał się obejść odpowiednio ułożonymi znacznikami i atrybutami (m.in. z dyrektywą @import). Skutek: kod napastnika działa w sesji zalogowanego użytkownika. Opis producenta mówi, że poza wyświetleniem wiadomości nie potrzeba żadnej dodatkowej interakcji.
Termin naprawy wyznaczony przez CISA minął 23 kwietnia 2026 roku, prawie pięć miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48700 |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-04-23 (3 dni od wpisu) |
Produkt | Zimbra Collaboration Suite (ZCS), w katalogu CISA pod producentem Synacor |
Wersje zagrożone | Linie 8.8.15, 9.0, 10.0 i 10.1: 8.8.15 do Patch 46, 9.0.0 do Patch 42, 10.0 poniżej 10.0.12, 10.1 poniżej 10.1.4. Podatny jest interfejs Classic UI |
Wersje bezpieczne | Wg biuletynu Zimbra: 10.1.4, 10.0.12, 9.0.0 Patch 43, 8.8.15 Patch 47 oraz nowsze. Linia 10 daje najdłuższą perspektywę wsparcia |
Typ podatności | Cross-site scripting (XSS, wstrzyknięcie kodu do wyświetlanej treści); CWE-79 |
Ocena CVSS | 6.1 ŚREDNIA (CVSS 3.1, ocena CISA w NVD; ani NVD, ani producent nie wystawili własnej). Atak przez sieć, bez logowania napastnika, wymagana „reakcja użytkownika”, czyli otwarcie wiadomości |
Wyobraź sobie sekretariat, w którym każdy list przed położeniem na biurku prezesa przechodzi przez kancelarię. Kancelaria wycina z listów wszystko podejrzane: proszek, pinezki, kartki z poleceniami „przelej natychmiast”. Okazuje się, że jeśli polecenie zapisać drobnym drukiem w nietypowym miejscu koperty, kancelaria go nie zauważa. Prezes otwiera list, a polecenie wykonuje się samo, z jego podpisem i pieczątką.
Tak działa ta luka. Mail w HTML wyświetla się jak mała strona internetowa, a Zimbra miała go wcześniej „oczyścić”. Spreparowana wiadomość przechodziła przez filtr, a jej kod działał w imieniu zalogowanej osoby: mógł czytać skrzynkę, kontakty i załączniki oraz wysyłać wiadomości z jej adresu. Szkolenie „nie klikaj w linki” tu nie pomaga, bo nie ma w co klikać.
💡 XSS (cross-site scripting) to wstrzyknięcie obcego kodu do strony lub wiadomości wyświetlanej w przeglądarce. Sesja to stan po zalogowaniu, w którym system nie pyta o hasło przy każdej operacji. Classic UI to starszy interfejs przeglądarkowy Zimbry. Patch to kolejny pakiet poprawek w obrębie linii wersji. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera maila od „klienta” | Widzi treść, nic więcej się nie dzieje | W tle uruchamia się kod napastnika |
Dostęp do skrzynki | Tylko właściciel, po zalogowaniu | Kod działa w sesji właściciela i widzi to co on |
Wysyłka wiadomości | Tylko przez właściciela | Możliwa z prawdziwego adresu, w trwającym wątku |
Szkolenie antyphishingowe | Chroni przed klikaniem w linki i załączniki | Nie chroni, wystarczy wyświetlenie |
Hasło i MFA | Chronią dostęp do konta | Nie mają znaczenia, sesja już jest otwarta |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że ataku nie da się w pełni zautomatyzować, a skutek techniczny jest częściowy: napastnik przejmuje sesję skrzynki, nie cały serwer.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Ustalenie, że firma używa Zimbry (np. po adresie strony logowania poczty) i zebranie adresów pracowników | Lista odbiorców |
2. Wysyłka | T+kilka godzin | Wysłanie spreparowanego maila, np. udającego klienta lub urząd | Wiadomość w skrzynkach |
3. Otwarcie | T+minuty do dni | Pracownik wyświetla wiadomość w Classic UI | Kod działa w jego sesji |
4. Przeszukanie | T+minuty od otwarcia | Odczyt maili, kontaktów, załączników; możliwe ustawienie przekierowania | Wyciek korespondencji |
5. Podszycie | T+dni | Wysyłka wiadomości z prawdziwego adresu do klientów i kontrahentów | Fałszywe prośby o zmianę numeru konta |
6. Skutek | T+tygodnie | Przelewy na konto oszustów, dalsze infekcje u partnerów | Strata finansowa i spór o odpowiedzialność |
Mogę Ci jakoś pomóc?
Poczta to archiwum umów, faktur i danych osobowych oraz kanał, któremu ufają klienci. Ocena 6.1 opisuje skutek technicznie ograniczony do sesji użytkownika, ale dla firmy przejęcie skrzynki zarządu lub księgowości bywa droższe niż awaria serwera.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokada i czyszczenie skrzynek, reset sesji i haseł, pilna aktualizacja | Godziny od wykrycia | 10 tys. do 60 tys. PLN |
Bezpieczeństwo danych | Wyciek korespondencji, załączników, danych klientów | Minuty od otwarcia | 30 tys. do 200 tys. PLN (analiza, powiadomienia) |
Finansowy | Przelewy na fałszywe konta po podszyciu się pod firmę | Dni do tygodni | 20 tys. do 500 tys. PLN (zależnie od wartości przelewów) |
Reputacyjny | Klienci dostali oszukańcze wiadomości z Twojego adresu | Tygodnie | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Wyciek danych osobowych: zgłoszenie do UODO w 72 godziny, przy wysokim ryzyku powiadomienie osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); spory z klientami o straty | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Zimbra bez poprawki
z używanym interfejsem Classic UI
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (ataki potwierdzone przez CISA, wystarczy otwarcie maila), a wpływ techniczny średni, bo napastnik działa w granicach jednej sesji skrzynki, a nie przejmuje serwera; skutki finansowe podszycia mogą jednak być poważne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję i numer Patch serwera Zimbra | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Zaktualizować do 10.1.4, 10.0.12, 9.0.0 Patch 43 lub 8.8.15 Patch 47 (albo nowszej) | Dziś | Administrator poczty / partner IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa: przełączyć użytkowników z Classic UI na nowszy interfejs, jeśli wersja go oferuje | Dziś | Administrator poczty |
4 | 🟠 PILNIE | Sprawdzić reguły przekierowań i filtry we wszystkich skrzynkach, szczególnie zarządu i księgowości | Do 3 dni | Administrator poczty |
5 | 🟠 PILNIE | Przejrzeć logi wysyłki pod kątem nietypowych wiadomości od kwietnia 2026 roku | Do 7 dni | Dział IT |
6 | 🟠 PILNIE | Wprowadzić zasadę telefonicznego potwierdzania każdej zmiany numeru konta | Do 7 dni | CFO |
7 | 🟡 WAŻNIE | Jeśli serwer stoi na linii 8.8.15 lub 9.0: zaplanować migrację na linię 10 | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich czterech linii, więc docelowo trzeba je wgrać. Do tego czasu pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Przejście użytkowników z Classic UI na nowszy interfejs (luka dotyczy Classic UI) | Wysoka, o ile Classic UI zostanie faktycznie wyłączony | Średnia: zmiana przyzwyczajeń użytkowników |
Korzystanie z poczty przez klienta desktopowego zamiast interfejsu przeglądarkowego | Średnia: ogranicza użycie podatnego interfejsu | Średnia |
Telefoniczne potwierdzanie zmian numerów kont | Wysoka wobec oszustw przelewowych, nie chroni danych | Łatwa |
Przegląd reguł przekierowań w skrzynkach | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Otwarcie maila | Może uruchomić kod napastnika | Bezpieczne wyświetlenie |
Wersja serwera | Linia bez poprawki | 10.1.4, 10.0.12, 9.0.0 P43 lub 8.8.15 P47 i nowsze |
Przelewy po zmianie konta | Na podstawie maila | Po telefonicznym potwierdzeniu |
Wiedza o włamaniu | Brak | Sprawdzone przekierowania i logi wysyłki |
Zgodność z terminem CISA | Zaległość od 23 kwietnia 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); atak oceniony jako trudny do pełnej automatyzacji |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.1 ŚREDNIA (CVSS 3.1, CISA); producent w biuletynie: TBD |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | lebr0nli (Alan Li), wg biuletynu Zimbra |
Inne rejestry | Europejska baza ENISA: EUVD-2025-18891 |
Średnia ocena i trzydniowy termin nie są sprzeczne. CVSS mówi, co się stanie po wykorzystaniu luki, a wpis w KEV mówi, że ktoś już ją wykorzystuje.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-48700
CVSS 3.1 (CISA) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 3 dni ████████████████████ tryb pilny
Interakcja otwarcie██████████████████░░ prawie żadna
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06-23 Publikacja CVE-2025-48700 (NVD)
2026-04-20 CISA dodaje lukę do katalogu KEV (partia 8 luk tego dnia)
2026-04-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Zestawienie biuletynów bezpieczeństwa Zimbra z wersjami poprawek: wiki.zimbra.com/wiki/Zimbra_Security_Advisories . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48700 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub dostawca hostingu poczty) używa Zimbra Collaboration | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: linia, wersja i numer Patch | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub wyłączenie Classic UI | CTO | DZISIAJ |
4 | Wprowadzić obowiązek telefonicznego potwierdzania zmian numerów kont | CFO | DZISIAJ |
5 | Zlecić przegląd przekierowań i logów wysyłki od kwietnia 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową i migrację na linię 10 | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące oszustw przelewowych | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka linia, wersja i numer Patch działa na naszym serwerze Zimbra? | [wersja] | 🔴 |
2 | Kiedy zainstalowano poprawkę dla CVE-2025-48700? | [data] | 🔴 |
3 | Czy użytkownicy nadal korzystają z Classic UI? | TAK / NIE | 🔴 |
4 | Czy w skrzynkach są reguły przekierowań, których nikt nie zakładał świadomie? | TAK / NIE | 🟠 |
5 | Czy logi wysyłki od kwietnia 2026 roku pokazują nietypowe wiadomości? | TAK / NIE | 🟠 |
6 | Czy stoimy na linii 8.8.15 lub 9.0 i jaki jest plan przejścia na linię 10? | [plan i termin] | 🟡 |
7 | Kto śledzi biuletyny bezpieczeństwa Zimbra i jak szybko reagujemy? | [osoba] | 🟡 |
CVE-2025-48700 pozwala uruchomić kod napastnika w sesji skrzynki Zimbra po samym wyświetleniu spreparowanej wiadomości w Classic UI. CISA potwierdza ataki, termin naprawy minął w kwietniu 2026 roku, a producent wydał poprawki dla wszystkich czterech linii. Aktualizacja, przegląd przekierowań i telefoniczne potwierdzanie zmian numerów kont zamykają najważniejsze ryzyka.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.