Uma vulnerabilidade crítica de Cross-Site Scripting (XSS) armazenado no Zimbra Collaboration Suite pode permitir a execução de código malicioso sem qualquer interação do usuário, bastando abrir um e-mail especialmente crafted. A falha, que afeta o Classic Web Client (Classic UI), foi corrigida pela empresa na versão 10.1.19, publicada em 7 de julho.
Segundo comunicado da Zimbra, o problema permite que um e-mail malicioso execute código no navegador da vítima ao ser aberto. Um invasor que explore a falha pode obter acesso a informações da caixa postal, dados de sessão e configurações da conta. A vulnerabilidade ainda não recebeu um identificador CVE, mas foi reportada pelo Google Threat Analysis Group (GTAG), grupo conhecido por descobrir falhas exploradas por grupos patrocinados por estados.
A empresa recomenda que todos os clientes que utilizam o Classic Web Client atualizem suas instalações para a versão 10.1.19 o mais rápido possível. Clientes que estiverem atualizando a partir das versões 10.0.x, 9.0.x ou 8.8.15 devem também atualizar a mitigação SNMP e reaplicá-la após a conclusão da atualização.
Histórico de explorações
A falha é notável porque vulnerabilidades no Zimbra têm sido alvo frequente de atores estatais. Em outubro de 2025, uma falha de XSS armazenado no mesmo Classic Web Client (CVE-2025-27915) foi alegadamente explorada como zero-day em ataques contra alvos militares brasileiros . Na ocasião, a Zimbra afirmou que sua investigação não encontrou evidências da exploração. Grupos ligados à Rússia, como APT28, Winter Vivern e UNC1151, também exploraram vulnerabilidades XSS no Zimbra em campanhas anteriores.
