Rapid7は2026年10月13日、Zimbraの認証境界に関する分析第1弾を公開しました。Zimbra Collaboration Suite(ZCS)の脆弱性80件超を報告したうち、今回はアカウント関連の5件を扱っています。ZCSを自社運用する企業は、他利用者としての送信やメールボックス閲覧につながる問題について、修正版と設定条件を分けて確認する必要があります。
修正版は問題ごとに異なる
ZCSは、メール、予定表、連絡先、タスク、ファイル共有を備えた自社運用型の基盤です。Rapid7の初期評価対象は、Ubuntu 22.04上のZCS 10.1.16_GA_4850 Network Editionでした。この評価環境だけで、影響する版や構成の全範囲が示されているわけではありません。
今回の5件のうち、次の3件は一般アカウントから個別に悪用できるとRapid7は説明しています。
- CVE-2026-73571：同じメールボックスサーバー上の別のローカル利用者として、メールを送信できる問題です。修正版はZCS 10.1.17です。
- CVE-2026-10631：EWS経由で他利用者のメールボックスを読める問題です。悪用には、侵害されたアカウントでEWSが有効である必要があります。修正版はZCS 10.1.20です。
- CVE-2026-50055：メールの振り分けなどに使うSieveの転送制限を回避する問題です。転送は、元のセッションの失効やパスワード変更後も継続できます。修正版はZCS 10.1.20です。
特に転送制限の回避は、パスワードを変更しただけで対応を終えないための確認材料になります。版の確認とともに、転送設定の点検を対応手順に含めることが重要です。
修正版の日本での提供は発表には書かれていません。
認証試行の制限回避は、設定の組み合わせも確認
CVE-2026-93637は、GraphQL経由の認証試行制限を回避する問題です。認証失敗が、送信元IPアドレス別のカウンターに記録されないとされています。アカウント別ロックアウトは初期設定で無効ですが、有効にするとGraphQL経由の失敗もローカルアカウントに計上されます。
一方、CVE-2026-93635は、利用者情報の検索に使うLDAPフィルターへ不正な入力を注入できる問題です。対象条件は、外部LDAP検索フィルター認証と、必要に応じてアカウントを作成する遅延自動プロビジョニングの設定です。
Rapid7によると、この2件を組み合わせると、IP別の制限とアカウント別ロックアウトを回避できます。ただし、強固なパスワードや、別途行われる多要素認証(MFA)の検証を突破するものではありません。両脆弱性には、公開修正版の記載がありません。
Rapid7は、コンポーネントごとに修正時期が異なるため分析を段階的に公開します。GitHubの詳細分析と、攻撃の成立を示す検証コード(PoC)も、発見事項や修正の公開に合わせて更新する方針です。
影響する会社・しない会社
- 影響する: ZCSを自社運用する会社は確認対象です。今回示された修正版と、自社の稼働版を照合してください。初期評価対象はNetwork Editionですが、影響範囲の全体は発表には書かれていません。
- 影響する: 外部LDAP検索フィルター認証と遅延自動プロビジョニングを設定している会社は、CVE-2026-93635の条件に注目してください。EWSを有効にしたアカウントは、CVE-2026-10631の悪用条件に関わります。
- 影響しない: ZCSを利用していない会社は、今回のZCS向け修正の適用対象ではありません。
- 影響しない: 侵害されたアカウントでEWSが無効なら、示されたCVE-2026-10631の悪用条件には当たりません。ただし、ほかの4件まで影響しないという意味ではありません。
情シスが今日やること
- 本日中に稼働版を集めます。 ZCSの運用担当者または委託先に、版、エディション、メールボックスサーバーの構成を確認してください。版の確認場所や管理画面の手順は発表には書かれていないため、委託先には確認結果の提出を依頼します。
- 認証設定を項目別に確認します。 アカウント別ロックアウト、外部LDAP検索フィルター認証、遅延自動プロビジョニング、EWSの有効・無効を運用担当者に照会します。「認証対策済み」と一括せず、各設定を記録してください。
- 更新と転送設定の点検を一緒に依頼します。 稼働版を10.1.17、10.1.20の修正情報と照合し、必要な更新の実施予定日を担当者と決めます。Sieveによる転送も確認し、パスワード変更だけで対応完了にしないよう伝えます。
- 未修正情報の追跡担当を決めます。 公開修正版の記載がない2件は、Rapid7のGitHub上の分析と修正情報を追う担当を本日中に決め、次回確認日を管理記録に残してください。
