Jetzt patchen! Zwei aufeinanderfolgende Synacor-Zimbra-Updates beheben zwei Gruppen kritischer Sicherheitslücken

Im Juli 2026 veröffentlichte Zimbra zwei Sicherheitspatches für mehrere Sicherheitslücken, die den Classic Web Client und andere Komponenten der Zimbra Collaboration Suite (ZCS) betrafen. Version 10.1.19 behob eine „Stored Cross-Site Scripting“ (XSS)-Sicherheitslücke, der noch keine CVE-Nummer zugewiesen wurde. Version 10.1.20 behob ein Problem mit Befehlsinjektionen in der SNMP-Überwachungskomponente, vier weitere „Stored XSS“-Probleme im Classic Web Client sowie zahlreiche weitere Schwachstellen.

Bislang wurde noch nicht berichtet, dass eine der neuen Schwachstellen aktiv ausgenutzt wird, und Proof-of-Concept-Exploits (PoC) sind nicht öffentlich verfügbar. Allerdings war Zimbra in der Vergangenheit ein beliebtes Ziel für Exploit-Kampagnen staatlich geförderter Akteure. Frühere ZCS-Schwachstellen sind 18 Mal auf der KEV-Liste der CISA aufgetaucht. Fünf dieser in der KEV-Liste aufgeführten CVEs stehen im Zusammenhang mit Ransomware-Angriffen. Im Juli 2026 warnten US-amerikanische und verbündete Sicherheitsbehörden, dass die vom russischen Staat unterstützte Gruppe LAUNDRY BEAR bereits seit mindestens Juli 2025 Schwachstellen in ZCS ausnutzt[1][2].

Die meisten der in den Updates 10.1.19 und 10.1.20 beschriebenen Sicherheitsprobleme sind nicht mit einer CVE verknüpft. Der Weg zur Behebung ist jedoch klar – Nutzer müssen auf die neueste Version der Zimbra Collaboration Suite (ZCS) aktualisieren, um geschützt zu sein. Der OPENVAS ENTERPRISE FEED enthält separate Remote-Banner-Versionsprüfungen, um Instanzen zu identifizieren, bei denen die Patches 10.1.19 und 10.1.20 fehlen [1][2]. Benutzer sollten so bald wie möglich ein Upgrade auf ZCS 10.1.20 durchführen.

Eine Risikobewertung der Sicherheitslücken in der Zimbra Collaboration Suite

Für Unternehmen, die noch den Classic Web Client verwenden, stellen die neuen Sicherheitslücken ein erhebliches Risiko dar. Das Update 10.1.19 behebt ein Stored-XSS-Problem, das ausgelöst werden kann, wenn ein Benutzer eine speziell gestaltete E-Mail öffnet. Die Schwachstelle wurde bis zum 27. Juli 2026 noch keiner veröffentlichten CVE zugeordnet, aber Zimbra hat sie als Problem mit kritischem Schweregrad eingestuft. Eine erfolgreiche Ausnutzung könnte Informationen zu Postfächern, Sitzungsdaten oder Kontoeinstellungen offenlegen und möglicherweise die Kompromittierung von Konten sowie Datendiebstahl ermöglichen.

Der Patch 10.1.20 behebt vier weitere „Stored XSS“-Schwachstellen im Classic Web Client, eine Schwachstelle durch Befehlsinjektion in der SNMP-Komponente sowie Fehler, die die Einschränkungen bei der E-Mail-Weiterleitung betreffen, Exchange Web Services (EWS)-Zugriffskontrollen, die Postfachdelegierung sowie die Zimbra-Integration für Nextcloud.

Details zu neuen Sicherheitsproblemen, die ZCS betreffen

Die technischen Details zu den Sicherheitsproblemen, die sowohl in den Updates ZCS 10.1.19 als auch 10.1.20 offengelegt wurden, sind begrenzt. Außerdem wurden für viele der beschriebenen Schwachstellen keine CVEs veröffentlicht.

Behoben in ZCS 10.1.19 (veröffentlicht am 7. Juli 2026):

• Behobener XSS-Fehler im Classic Web Client in 10.1.19 (keine CVE-Nummer zugewiesen): Die Schwachstelle kann durch das Öffnen einer speziell gestalteten E-Mail ausgelöst werden. Durch Ausnutzung dieser Schwachstelle kann ein Angreifer ein bösartiges Skript in einer Benutzersitzung ausführen und möglicherweise Informationen zum Postfach, Sitzungsdaten oder Kontoeinstellungen offenlegen.

Behoben in ZCS 10.1.20 (veröffentlicht am 20. Juli 2026):

• SNMP-Überwachung (keine CVE-Nummer zugewiesen): Eine Schwachstelle durch Befehlsinjektion in der SNMP-Überwachungskomponente, wenn SNMP-Benachrichtigungen aktiviert sind.
• Probleme mit gespeichertem XSS im Classic Web Client (keine CVE-Nummer zugewiesen): Dateinamen von Anhängen, manipulierte Felder und Anhänge können so gestaltet werden, dass sie XSS auf den Systemen der Benutzer auslösen, wenn diese eine bösartige E-Mail anzeigen.
• CVE-2026-50055 (CVE reserviert, aber nicht veröffentlicht): Eine Umgehung der E-Mail-Weiterleitungsbeschränkung könnte es authentifizierten Benutzern ermöglichen, E-Mails trotz aktivierter Weiterleitungsbeschränkungen zu exfiltrieren.
• CVE-2026-10631 (CVE reserviert, aber nicht veröffentlicht): Ein Problem bei den Zugriffskontrollen der Exchange Web Services-Erweiterung kann unbestimmte Auswirkungen im Zusammenhang mit Zugriffskontrollen haben.
• CVE-2026-50054 (CVE reserviert, aber nicht veröffentlicht): Ein Problem bei der Autorisierung der Postfachdelegierung mit nicht näher beschriebenen Details.
• SSRF in der Nextcloud-Integration (keine CVE-Nummer zugewiesen): Eine Server-Side-Request-Forgery-Sicherheitslücke (SSRF) in der Nextcloud-Integration für ZCS.

Abhilfemaßnahmen für neue Sicherheitslücken in der Zimbra Collaboration Suite

Benutzer, die den Classic Web Client einsetzen, sollten so bald wie möglich auf ZCS v10.1.20 aktualisieren, da das Risiko eines von Angreifern kontrollierten XSS besteht. Der Anbieter hat keine Workarounds beschrieben. Der OPENVAS ENTERPRISE FEED enthält separate Remote-Banner-Versionsprüfungen, um Instanzen zu identifizieren, bei denen die Patches 10.1.19 und 10.1.20 fehlen [1][2].

Zusammenfassung

Zimbra hat im Juli 2026 mehrere Sicherheitsprobleme behoben und zwei Sicherheitspatches für ZCS veröffentlicht. Die Updates beheben Schwachstellen in mehreren Komponenten. Die kritischsten Probleme sind XSS-Risiken auf Sitzungsebene im Classic Web Client. Zu den weiteren hochriskanten Schwachstellen zählen konfigurationsabhängige Befehlsinjektionen bei der SNMP-Überwachung sowie Schwächen bei der Zugriffskontrolle oder Autorisierung, die die Offenlegung von E-Mails und den delegierten Zugriff beeinträchtigen können. Es wurden keine aktiven Ausnutzungen gemeldet, obwohl ZCS in der Vergangenheit bereits ins Visier von APT-Akteuren (Advanced Persistent Threat) geraten ist und Berichten zufolge nach wie vor ein aktives Ziel darstellt.