Synacor Zimbra: Mehrere Schwachstellen
WID-SEC-2025-2911 · primera publicación 23.12.2025 · actualizado 19.03.2026 · CVSS 8,8
De qué se trata
Zimbra ist eine Groupware-Lösung, die E-Mail, Kalender und Aufgabenverwaltung bietet. Ein Angreifer kann mehrere Schwachstellen in Synacor Zimbra ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen, und um beliebigen Programmcode auszuführen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- einen Cross-Site Scripting Angriff durchzuführen
- Sicherheitsvorkehrungen zu umgehen
- beliebigen Programmcode auszuführen
¿Me afecta?
Afectados según el BSI:
- Synacor Zimbra <10.1.13
- Synacor Zimbra <10.0.18
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Synacor Zimbra 10.1.13
- Synacor Zimbra 10.0.18
¿Se está explotando ya la vulnerabilidad?
- CVE-2025-66376: explotada en la práctica según la CISA, en el catálogo desde el 18.03.2026.
- CVE-2025-68645: explotada en la práctica según la CISA, en el catálogo desde el 22.01.2026.
- Según un aviso de la CISA, utilizada por actores de Rusia: Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite (07/2026)
Información y fuentes
- Aviso original del BSI (WID)
- Zimbra Security Advisory vom 2025-12-22 wiki.zimbra.com
- NIST Vulnerability Database vom 2025-12-22 nvd.nist.gov
- NIST Vulnerability Database vom 2025-12-22 nvd.nist.gov
- PoC auf GitHub vom 2026-01-01 github.com
- CISA Known Exploited Vulnerabilities Catalog vom 2026-03-18 www.cisa.gov
CVE: CVE-2025-66376, CVE-2025-67809, CVE-2025-68645
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.