Zimbra Collaboration の Classic UI 保存型 XSS（悪用確認済み）

High（CVSS 7.2）に分類されるSynacor Zimbra Collaboration (ZCS)の脆弱性です。Zimbra Collaboration（ZCS）の Classic UI に保存型のクロスサイトスクリプティングがあり、HTML メール内の CSS の @import 指令を悪用して攻撃者の指定した内容を実行させられる。着火点はメールを開くという日常操作で、成立すると閲覧者の権限で webmail を操作できることになる。影響は 10.0.0 以上 10.0.18 未満と、10.1.0 以上 10.1.13 未満。修正は 10.0.18 と 10.1.13 で、10.0.18 のリリースノート（2025年11月6日リリース）の Security Fixes に「Classic UI で CSS @import 指令を悪用する保存型 XSS を修正した」として本 CVE が明記されている。CVSS は評価元で割れており、NVD（Primary）は 6.1 Medium（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N）、CNA の MITRE は 7.2 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N）で、差はユーザー操作を要するとみるかどうかである。ここでは 7.0 以上となる CNA の値を採用している。CWE は CNA が付けた CWE-79 のみ。CISA KEV には 2026-03-18 に収載され、是正期限は 2026-04-01、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は版の確認で、zimbra ユーザーになって zmcontrol -v を実行し、10.0 系なら 10.0.18 以上、10.1 系なら 10.1.13 以上かを見る。複数ノード構成では mailbox ノードごとに版がずれていることがあるので、全ノードで取る。ここで重要なのは、10.0 系のリリースノートに 10.0 が 2025年12月31日で End of Life になると書かれており、以後のセキュリティ更新は 10.1 系にしか出ないと明示されている点である。したがって 10.0.18 へ上げるのは今回の穴を塞ぐ応急処置として意味があるが、恒久的には 10.1 系への移行が本筋になる。すぐ更新できない場合の緩和は、この脆弱性が Classic UI に限定されていることを利用して、利用者を Modern UI に寄せて Classic UI を使わせない、という経路を閉じる方向になる。ただしベンダーが個別の回避設定を示しているわけではないので、あくまで時間稼ぎである。完了条件は、（1）全ノードが 10.0.18 もしくは 10.1.13 以上になっていること、（2）10.1 系への移行計画があること、（3）KEV 収載＝実際に悪用されているので痕跡を確認することの3点である。保存型 XSS は「メールを1通置いておけば閲覧者が踏む」型なので、更新後もメールボックスに残った細工メールは残る。確認すべきは、利用者アカウントのメール転送先とサーバ側フィルタが勝手に足されていないか、管理者権限を持つアカウントで Classic UI を使っていた人がいないか、Web アクセスログに不審なリクエストが並んでいないかである。管理者アカウントが踏んだ可能性があるならパスワードを変え、セッションを失効させる。是正期限 2026-04-01 は既に過ぎているため、未更新なら期限超過として扱う。

Synacor Zimbra Collaboration (ZCS) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-66376）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/01 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。