A Zimbra publicou ontem uma atualização para o Zimbra Collaboration Suite (ZCS) que corrige múltiplas vulnerabilidades críticas, incluindo uma falha de injeção de comandos descoberta no final de junho que permite a execução de código arbitrário por atacantes não autenticados.
A falha crítica de injeção de comandos afeta o componente de monitoramento SNMP se as notificações estiverem ativadas e o serviço Swatchdog integrado estiver em execução. Um atacante não autenticado pode enviar cargas maliciosas para executar comandos do sistema operacional em segundo plano e comprometer o servidor de e-mail. A Zimbra Collaboration Suite versão 10.1.20 inclui uma correção definitiva para o bug.
A atualização também corrige quatro falhas de cross-site scripting (XSS) no Classic Web Client (Classic UI). Essas falhas, que podem levar à execução de scripts sob certas condições, são exploráveis por meio de nomes de anexos maliciosos, campos criados e anexos especialmente elaborados.
Outras vulnerabilidades corrigidas
O pacote de atualização resolve ainda a CVE-2026-50055, uma falha que permite o bypass de restrições de encaminhamento de e-mail. Com ela, atacantes autenticados podem exfiltrar mensagens mesmo com as restrições de encaminhamento ativas. Também foram corrigidas uma vulnerabilidade de controle de acesso na extensão EWS (CVE-2026-10631), uma questão de autorização em delegação de caixa postal (CVE-2026-50054) e uma falha de server-side request forgery (SSRF) na integração com o Nextcloud.
A Zimbra não forneceu detalhes adicionais sobre os defeitos, mas recomenda que os usuários atualizem para a versão 10.1.20 o mais rápido possível. A empresa não mencionou qualquer exploração ativa dessas falhas em ataques reais.
Esta atualização de segurança chega aproximadamente duas semanas após a Zimbra ter corrigido uma falha crítica de XSS no Classic Web Client que poderia levar à execução de código ao abrir um e-mail.
