Kritische Zimbra-Lücke: Jetzt auf 10.1.19 updaten

Veröffentlicht am 09.07.2026

Kritische Zimbra-Lücke im Classic Web Client: Update auf 10.1.19 nötig

Eine einzige E-Mail genügt – mehr braucht ein Angreifer nicht, um ein Zimbra-Postfach zu kapern. Am 7. Juli 2026 haben die Entwickler der Zimbra Collaboration Suite (ZCS) ein Sicherheitsupdate auf Version 10.1.19 veröffentlicht und dabei eine als kritisch eingestufte Schwachstelle im sogenannten Classic Web Client offengelegt. Die Lücke trägt die Kennung CVE-2026-42530 und ist besonders heimtückisch: Der Schadcode wird bereits beim bloßen Öffnen einer präparierten E-Mail ausgeführt – ohne dass das Opfer auf einen Link klicken oder einen Anhang öffnen muss.

Für kleine und mittlere Unternehmen in Deutschland, die Zimbra als E-Mail-Server betreiben, bedeutet das: Jetzt handeln. In diesem Artikel erklären wir verständlich, was passiert ist, wer betroffen ist, wie Sie das selbst prüfen und welche konkreten Schritte jetzt anstehen – inklusive der DSGVO-Pflichten, die im Ernstfall greifen.

Was ist passiert?

Der Hersteller Synacor hat mit dem Patch Release Update auf ZCS 10.1.19 eine Stored-Cross-Site-Scripting-Schwachstelle (Stored XSS) im Classic Web Client geschlossen. Cross-Site-Scripting bedeutet, dass ein Angreifer schädlichen Programmcode – meist JavaScript – in eine Webanwendung einschleusen kann, der anschließend im Browser eines anderen Nutzers ausgeführt wird. „Stored“ heißt dabei, dass dieser Code gespeichert wird und beim Abruf automatisch aktiv wird.

Im konkreten Fall versteckt der Angreifer den Schadcode in einer speziell präparierten E-Mail. Sobald ein Nutzer diese Nachricht im Classic Web Client öffnet, wird der eingebettete JavaScript-Code automatisch in der laufenden Browser-Sitzung des Opfers ausgeführt. Der Hersteller Zimbra beschreibt es in seinem offiziellen Blog so:

„Der Fix behebt ein Sicherheitsproblem im Classic Web Client, bei dem eine speziell gestaltete E-Mail beim Öffnen der Nachricht Schadcode ausführen kann. Bei erfolgreicher Ausnutzung könnte dies Zugriff auf Postfach-Informationen, Sitzungsdaten oder Kontoeinstellungen ermöglichen.“ (Synacor/Zimbra-Entwicklerteam, blog.zimbra.com)

Das Gefährliche daran: Der Angriff ist rein mail-basiert und erfordert keine vorherige Anmeldung des Angreifers am Zimbra-System. Er muss lediglich eine E-Mail an ein Opfer schicken, das den Classic Web Client verwendet.

Der technische Hintergrund – verständlich erklärt

Ursache der Lücke ist eine unzureichende Eingabebereinigung (auf Englisch „Input Sanitization“) bei der Darstellung von HTML-E-Mail-Inhalten im Classic Client. Vereinfacht gesagt: Der Client prüft nicht sorgfältig genug, ob eine eingehende E-Mail neben normalem Text auch ausführbaren Code enthält. So kann ein Angreifer bösartigen JavaScript-Code in die HTML-Struktur einer Mail einbetten, der dann im Kontext der Nutzersitzung ausgeführt wird.

Was ein Angreifer bei erfolgreicher Ausnutzung anrichten kann:

Session-Diebstahl (Session Hijacking): Der Angreifer stiehlt Session-Cookies und Authentifizierungstoken – also die digitalen „Zugangstickets“ – und übernimmt damit die aktive Sitzung des Opfers.
Zugriff auf Mailbox-Inhalte: E-Mails, Kontakte und Kalendereinträge werden lesbar.
Manipulation der Kontoeinstellungen: Besonders perfide ist das Einrichten von E-Mail-Weiterleitungsregeln, mit denen sich Angreifer dauerhaften Zugriff sichern – auch nachdem das Passwort geändert wurde.

Vergleichbare frühere Zimbra-XSS-Lücken – etwa CVE-2025-66376 – wurden über den Missbrauch von CSS-@import-Direktiven in HTML-E-Mails ausgenutzt. Wie hoch der offizielle CVSS-Score (der genormte Wert zur Bewertung des Schweregrads) für die neue Lücke ausfällt, ist in den Release Notes bislang mit „TBD“ (to be determined – noch festzulegen) markiert. Die Einstufung als „kritisch“ durch den Hersteller und die Angabe „Patch Security Severity: High“ deuten jedoch klar auf einen hohen Wert hin.

Wer ist betroffen?

Betroffen sind alle Installationen der Zimbra Collaboration Suite in Versionen vor 10.1.19, sofern der Classic Web Client verwendet wird. Konkret betrifft das den Versionszweig 10.1.x vor 10.1.19 sowie potenziell ältere Zweige (10.0.x, 9.0.x, 8.8.15), sofern dort der Classic Client zum Einsatz kommt. Der Modern Client ist nicht betroffen.

Wie relevant das für Deutschland ist, zeigt eine Warnung des BSI/CERT-Bund vom Januar 2026:

„Von den uns bekannten ca. 1500 Zimbra-Servern in Deutschland laufen aktuell 40% mit einer nicht mehr vom Hersteller unterstützten Version (10.0 und älter) oder sind noch für kritische Schwachstellen verwundbar.“ (BSI/CERT-Bund)

Zimbra ist weit verbreitet: Weltweit sind schätzungsweise rund 50.000 E-Mail-Server auf Zimbra-Basis im Einsatz, das Produkt wird laut Herstellerangaben von über 6.000 Organisationen in 127 Ländern genutzt. Gerade KMU ohne dediziertes IT-Sicherheitsteam spielen Patches oft verzögert ein – und werden dadurch zum bevorzugten Ziel.

So prüfen Sie, ob Sie betroffen sind

Zimbra-Version prüfen: Melden Sie sich als Administrator an der Zimbra-Admin-Konsole an (https://ihr-zimbra-server:7071/zimbraAdmin) und navigieren Sie zu „Über Zimbra“. Alternativ führen Sie auf der Kommandozeile als Zimbra-Benutzer den Befehl zmcontrol -v aus. Zeigt die Ausgabe eine Version vor 10.1.19, ist Ihr System potenziell betroffen.
Prüfen, ob der Classic Web Client aktiv ist: In der Admin-Konsole unter „Konfiguration“ > „Globale Einstellungen“ > „Allgemein“ prüfen. Alternativ testen Sie, ob Nutzer über https://ihr-zimbra-server/?client=classic auf den Classic Client zugreifen können.
Öffentliche Erreichbarkeit prüfen: Ist Ihr Zimbra-Server über das Internet erreichbar (z. B. per Suche über Shodan.io nach Ihrem Hostnamen oder Ihrer IP)? Öffentlich erreichbare Server haben ein deutlich höheres Angriffsrisiko.
Logs auf Anomalien prüfen: Sichten Sie die Zimbra-Mailbox-Logs (/opt/zimbra/log/mailbox.log) auf ungewöhnliche Aktivitäten – insbesondere unbekannte Logins, unerwartete Weiterleitungsregeln oder auffällige Zugriffszeiten.
Patch-Status verifizieren: Nach dem Update erneut zmcontrol -v ausführen und die Versionsnummer bestätigen. Prüfen Sie zusätzlich, ob die Pakete zimbra-patch und zimbra-mbox-webclient-war auf dem Stand 10.1.19 sind.

Das müssen Sie jetzt tun

Ein Patch steht bereit: ZCS 10.1.19, veröffentlicht am 7. Juli 2026 (Pakete: zimbra-patch 10.1.19.1783177840-2, zimbra-mbox-webclient-war 10.1.19.1783175257-1). Handeln Sie in dieser Reihenfolge:

Sofortiges Update auf ZCS 10.1.19 (dringend): Folgen Sie der offiziellen Upgrade-Anleitung unter wiki.zimbra.com/wiki/Zimbra_Releases/10.1.19. Planen Sie das Update als Notfall-Maintenance ein. Hinweis: Wer von ZCS 10.0.x, 9.0.x oder 8.8.15 upgradet, muss nach dem Upgrade die SNMP-Mitigation erneut anwenden.
Temporär (bis der Patch eingespielt ist): Deaktivieren Sie den Classic Web Client oder weisen Sie alle Nutzer an, ausschließlich den Modern Client zu verwenden. In der Admin-Konsole lässt sich der Classic Client unter „Konfiguration“ > „Globale Einstellungen“ deaktivieren.
Netzwerkseitige Absicherung: Beschränken Sie den Zugriff auf die Zimbra-Weboberfläche auf notwendige IP-Bereiche (z. B. das Firmen-VPN), sofern ein vollständig öffentlicher Zugriff nicht zwingend nötig ist.
Monitoring aktivieren: Protokollieren Sie fehlgeschlagene Anmeldeversuche und ungewöhnliche Sitzungsaktivitäten. Prüfen Sie außerdem bestehende E-Mail-Weiterleitungsregeln aller Konten auf unbekannte Ziele.
Nutzer informieren: Sensibilisieren Sie Ihre Mitarbeiter, verdächtige E-Mails (besonders solche mit ungewöhnlichem HTML-Inhalt) zu melden und vorübergehend den Classic Client zu meiden.
DSGVO-Prüfung: Gibt es Hinweise auf eine erfolgreiche Ausnutzung? Bei begründetem Verdacht auf eine Datenpanne bereiten Sie die Meldung an die zuständige Datenschutzbehörde vor (mehr dazu unten).
Support bei Bedarf: Falls Sie Hilfe beim Update oder bei der Einschätzung einer möglichen Kompromittierung brauchen, reichen Sie ein Support-Ticket unter support.zimbra.com ein.

Ein wichtiger Hinweis von Heise-Security-Autorin Olivia von Westernhagen:

„Im Hinblick auf den aktuellen Lückenfund [sind] bislang zwar keine Exploitversuche bekannt; dennoch ist es ratsam, zeitnah zu handeln. Admins tun auch dann gut daran, die ZCS auf den neuesten Stand zu bringen, wenn der Classic Web Client im Unternehmen nicht zum Einsatz kommt.“

Einordnung: Warum diese Lücke ernst zu nehmen ist

Zum Zeitpunkt der Veröffentlichung waren laut Heise Security keine aktiven Exploit-Versuche für genau diese Lücke bekannt. Das ist allerdings kein Grund zur Entwarnung – im Gegenteil. Die Vergangenheit zeigt, dass Zimbra-XSS-Schwachstellen regelmäßig und schnell aktiv ausgenutzt werden, sowohl von opportunistischen Cyberkriminellen als auch von staatlich gesteuerten Gruppen wie APT28 (Fancy Bear) und APT29 (Cozy Bear).

Ein Vergleichsfall: Bei der Zimbra-XSS-Lücke CVE-2025-66376 ordnete die US-Behörde CISA im März 2026 einen Zwangs-Patch für Bundesbehörden an, nachdem APT28 damit ukrainische Regierungsstellen angegriffen hatte. Die Sicherheitsforscher von Seqrite Labs beschrieben das Angriffsmuster damals eindringlich:

„Die Phishing-E-Mail hat keine bösartigen Anhänge, keine verdächtigen Links, keine Makros. Die gesamte Angriffskette lebt im HTML-Körper einer einzigen E-Mail.“ (Seqrite Labs)

Und die Patch-Disziplin bleibt ein strukturelles Problem: Bei der vergleichbaren Schwachstelle CVE-2025-48700 meldete der Dienst Shadowserver Ende April 2026 noch über 10.500 ungepatchte Zimbra-Server weltweit – davon 3.793 in Europa. Wer jetzt zögert, gehört im Zweifel zu genau dieser Gruppe.

DSGVO: Diese Pflichten drohen im Ernstfall

E-Mail-Postfächer enthalten in aller Regel personenbezogene Daten im Sinne der DSGVO – Namen, Adressen, Kommunikationsinhalte, teils sogar besonders sensible Daten. Erlangt ein Angreifer durch Ausnutzung von CVE-2026-42530 tatsächlich Zugriff auf Mailbox-Inhalte, Session-Daten oder Kontoinformationen, liegt eine Verletzung des Schutzes personenbezogener Daten (Datenpanne) nach Art. 4 Nr. 12 DSGVO vor.

Daraus ergibt sich:

Meldepflicht (Art. 33 DSGVO): Innerhalb von 72 Stunden nach Bekanntwerden ist die zuständige Datenschutzaufsichtsbehörde zu informieren. In Deutschland sind das die jeweiligen Landesdatenschutzbehörden (z. B. BayLDA, LfDI Baden-Württemberg, Berliner Beauftragte für Datenschutz).
Benachrichtigungspflicht (Art. 34 DSGVO): Betroffene Personen müssen informiert werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht – bei Zugriff auf E-Mail-Inhalte ist das regelmäßig der Fall.
Haftungsrisiko (Art. 32 und 83 DSGVO): Wer bekannte Sicherheitslücken nicht zeitnah schließt, riskiert Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes; bei schwerwiegenderen Verstößen bis zu 20 Mio. Euro oder 4 %. Das zeitnahe Einspielen von Sicherheitspatches gilt als geeignete technische Schutzmaßnahme im Sinne von Art. 32 DSGVO.

Wichtig: Das bloße Vorhandensein der Lücke begründet noch keine Meldepflicht. Diese entsteht erst bei tatsächlichem oder hinreichend wahrscheinlichem unbefugtem Datenzugriff.

Fazit

CVE-2026-42530 gehört zu den dringlichsten Sicherheitslücken des Jahres 2026 für Zimbra-Betreiber. Die Kombination aus kritischem Schweregrad, einem denkbar einfachen mail-basierten Angriffsvektor ohne Authentifizierung und dem möglichen Zugriff auf sensible Kommunikationsdaten macht sie besonders gefährlich. Noch sind keine aktiven Angriffe bekannt – doch die Geschichte der Zimbra-XSS-Lücken lehrt, dass sich das schnell ändern kann.

Die gute Nachricht: Ein Patch ist da. Aktualisieren Sie umgehend auf ZCS 10.1.19, deaktivieren Sie bis dahin den Classic Web Client, und prüfen Sie Ihre Logs auf Auffälligkeiten. Warten Sie nicht auf den ersten dokumentierten Angriff – bei einer Lücke dieser Klasse ist Vorsprung der beste Schutz.