Eine einzige E-Mail kann reichen, um dein Zimbra-Postfach zu kapern. Zimbra warnt vor einer kritischen Cross-Site-Scripting-Lücke (Stored XSS) im Classic Web Client — und drängt alle Betreiber, sofort zu patchen. Aufgespürt hat die Lücke Googles Threat Analysis Group (TAG), die sonst vor allem Angriffen staatlicher Akteure auf der Spur ist.
SO GEFÄHRLICH ist die Lücke
Der Fehler steckt in der klassischen Weboberfläche von Zimbra. Eine speziell präparierte Nachricht schmuggelt Schadcode ein, der ausgeführt wird, sobald das Opfer die Mail im Browser öffnet. Der Code läuft dann im Kontext der eingeloggten Webmail-Sitzung — Angreifer können damit Sitzungsdaten, Kontoeinstellungen oder Postfach-Inhalte abgreifen.
GEFAHR: Kein Klick auf Anhänge nötig
Das Tückische an Stored XSS: Es braucht keinen dubiosen Anhang und keinen Klick auf einen Link. Das bloße Anzeigen der Mail in der verwundbaren Oberfläche genügt. Dass ausgerechnet Googles TAG die Lücke gemeldet hat, ist ein Warnsignal — dieses Team findet oft Schwachstellen, die bereits von professionellen Angreifern genutzt werden.
SO STOPPST DU DEN ANGRIFF — in 5 Minuten
Zimbra hat am 7. Juli 2026 die Version 10.1.19 veröffentlicht, die den Fehler behebt. Der Fix kommt über aktualisierte Pakete zimbra-patch und zimbra-mbox-webclient-war. Spiel das Update ein — jetzt. Wer nicht sofort patchen kann, sollte übergangsweise auf das modernere Web-Interface umsteigen, das nicht betroffen ist.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob ich verwundbar bin?
Wurde die Lücke schon ausgenutzt?
Quellen & weiterführende Links
- BleepingComputer — Zimbra urges patch of web client XSS
- The Hacker News — Critical Zimbra flaw
- SecurityAffairs — Update now: Zimbra Classic Web Client flaw
Mehr Empfehlungen findest du jederzeit unter lapalutschi.de/empfehlungen.