情報取得日: 2026/01/22／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-68645 |
|---|---|
| 製品 | Synacor / Zimbra Collaboration (ZCS) |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-98 ファイル取り込みの制御不備（KEV の名称は PHP Remote File Inclusion だが実体は Classic UI の LFI） |
| CVE 公開日 | 2025/12/22（NVD） |
| CISA KEV 収載日 | 2026/01/22 2025年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2026/02/12 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-68645 |
Zimbra Collaboration（ZCS）10.0 系と 10.1 系の Webmail Classic UI にある RestFilter サーブレットが、利用者から渡されたリクエストパラメータを適切に扱わないため、未認証の遠隔攻撃者が /h/rest エンドポイントへ細工したリクエストを送ることで内部のリクエスト振り分けに介入し、WebRoot ディレクトリ配下の任意のファイルを読み込ませられる。認証が不要な点が重要で、webmail が外から見えていれば誰でも試せる。影響は 10.0.0 以上 10.0.18 未満と 10.1.0 以上 10.1.13 未満で、修正は 10.0.18 と 10.1.13。10.0.18 のリリースノートの Security Fixes に「RestFilter の未認証のローカルファイル取り込みに対処した」として本 CVE が挙がっている。CVSS は CISA-ADP による Secondary 評価の 8.8 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。ベクタには UI:R が入っているが、脆弱性の説明自体は未認証の遠隔攻撃者が成立させられると明記している。CWE は CWE-98 で、KEV 側のタイトルは「PHP Remote File Inclusion」となっているが ZCS は Java 実装であり、実体は Classic UI のファイル取り込みの問題である。CISA KEV には 2026-01-22 に収載され、是正期限は 2026-02-12、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の Zimbra を 10.0.18 もしくは 10.1.13 以上へパッチ適用し、ALB や CloudFront を前面に置いている場合は /h/rest への外部アクセスを塞ぐ
AWS 側の欠陥ではなく利用者が運用するアプリの問題。ZCS はベンダー配布パッケージなので OS の更新では直らない。ALB のアクセスログは過去に叩かれた痕跡を探す材料になる。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の Zimbra を修正版へパッチ適用する
GCP 側のサービスの問題ではない。Cloud Load Balancing を前段に置いているなら、Cloud Armor で /h/rest を一時的に遮断してから落ち着いてパッチを当てるという順序が取れる。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の Zimbra を修正版へパッチ適用する
対象は利用者が自分で運用する ZCS のみ。Application Gateway / WAF を前段に置いているなら該当パスの遮断を併用する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Zimbra のパッチ手順に従って 10.0.18 もしくは 10.1.13 以上へ更新する
ディストリの通常の yum / apt 更新では直らないベンダー配布物である。リリースノートの Patch Installation 手順に従い、適用後に zmcontrol restart までを完了させる。
参照リンク
|
判定は版の確認で、zimbra ユーザーで zmcontrol -v を実行し、10.0 系なら 10.0.18 以上、10.1 系なら 10.1.13 以上かを見る。全 mailbox ノードで取ること。合わせて、自分の環境で /h/rest が外から到達できるかを確認する。前面にリバースプロキシや WAF を置いている場合は、そこのアクセスログで /h/ 配下や /h/rest へのリクエストが通っているかを見ると、露出の有無と過去に叩かれた痕跡の両方が同時に分かる。すぐ更新できない場合の緩和は、前面のプロキシで /h/rest への外部アクセスを止める、あるいは Classic UI 自体を外部から使わせないという経路の遮断になる。ベンダーが個別の回避設定を示しているわけではないので、これは更新までの時間稼ぎと割り切る。完了条件は、（1）全ノードが 10.0.18 もしくは 10.1.13 以上であること、（2）KEV 収載＝実際に悪用されている前提での事後確認が済んでいること、（3）10.0 系は 2025年12月末で EOL なので 10.1 系への移行計画が立っていることの3点である。この脆弱性はファイルの読み出しであるため、更新して穴を塞いでも「既に読まれたもの」は取り返せない。したがって、アクセスログに /h/rest への不審なリクエストが残っていた環境では、WebRoot 配下から読まれ得た設定ファイルや鍵、そこに書かれていた認証情報が漏れている前提で動く必要がある。具体的には Zimbra の管理者パスワード、LDAP や DB のバインド情報、外部連携用の API キー、証明書の秘密鍵を再発行し、全利用者のセッションを失効させる。是正期限 2026-02-12 は既に過ぎているため、未更新なら期限超過として扱う。
High（CVSS 8.8）に分類されるSynacor Zimbra Collaboration (ZCS)の脆弱性です。Zimbra Collaboration（ZCS）10.0 系と 10.1 系の Webmail Classic UI にある RestFilter サーブレットが、利用者から渡されたリクエストパラメータを適切に扱わないため、未認証の遠隔攻撃者が /h/rest エンドポイントへ細工したリクエストを送ることで内部のリクエスト振り分けに介入し、WebRoot ディレクトリ配下の任意のファイルを読み込ませられる。認証が不要な点が重要で、webmail が外から見えていれば誰でも試せる。影響は 10.0.0 以上 10.0.18 未満と 10.1.0 以上 10.1.13 未満で、修正は 10.0.18 と 10.1.13。10.0.18 のリリースノートの Security Fixes に「RestFilter の未認証のローカルファイル取り込みに対処した」として本 CVE が挙がっている。CVSS は CISA-ADP による Secondary 評価の 8.8 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。ベクタには UI:R が入っているが、脆弱性の説明自体は未認証の遠隔攻撃者が成立させられると明記している。CWE は CWE-98 で、KEV 側のタイトルは「PHP Remote File Inclusion」となっているが ZCS は Java 実装であり、実体は Classic UI のファイル取り込みの問題である。CISA KEV には 2026-01-22 に収載され、是正期限は 2026-02-12、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
判定は版の確認で、zimbra ユーザーで zmcontrol -v を実行し、10.0 系なら 10.0.18 以上、10.1 系なら 10.1.13 以上かを見る。全 mailbox ノードで取ること。合わせて、自分の環境で /h/rest が外から到達できるかを確認する。前面にリバースプロキシや WAF を置いている場合は、そこのアクセスログで /h/ 配下や /h/rest へのリクエストが通っているかを見ると、露出の有無と過去に叩かれた痕跡の両方が同時に分かる。すぐ更新できない場合の緩和は、前面のプロキシで /h/rest への外部アクセスを止める、あるいは Classic UI 自体を外部から使わせないという経路の遮断になる。ベンダーが個別の回避設定を示しているわけではないので、これは更新までの時間稼ぎと割り切る。完了条件は、（1）全ノードが 10.0.18 もしくは 10.1.13 以上であること、（2）KEV 収載＝実際に悪用されている前提での事後確認が済んでいること、（3）10.0 系は 2025年12月末で EOL なので 10.1 系への移行計画が立っていることの3点である。この脆弱性はファイルの読み出しであるため、更新して穴を塞いでも「既に読まれたもの」は取り返せない。したがって、アクセスログに /h/rest への不審なリクエストが残っていた環境では、WebRoot 配下から読まれ得た設定ファイルや鍵、そこに書かれていた認証情報が漏れている前提で動く必要がある。具体的には Zimbra の管理者パスワード、LDAP や DB のバインド情報、外部連携用の API キー、証明書の秘密鍵を再発行し、全利用者のセッションを失効させる。是正期限 2026-02-12 は既に過ぎているため、未更新なら期限超過として扱う。
Synacor Zimbra Collaboration (ZCS) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-68645）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。