Die wichtigste der jetzt geschlossenen Lücken ist eine kritische Command-Injection-Schwachstelle in der Zimbra Collaboration Suite. Betroffen ist laut Zimbra die SNMP-Monitoring-Komponente, allerdings nur unter bestimmten Voraussetzungen: SNMP-Benachrichtigungen müssen aktiviert sein und der integrierte Swatchdog-Dienst muss laufen. In diesem Fall könnte ein nicht authentisierter Angreifer präparierte Nutzdaten einschleusen, um im Hintergrund beliebige Betriebssystembefehle auszuführen.
Zimbra zufolge behebt ZCS 10.1.20 diesen Fehler dauerhaft. Der Hersteller beschreibt die Folge der Schwachstelle als mögliche Kompromittierung des E-Mail-Servers. Weitere technische Einzelheiten zur Lücke hat Zimbra nicht veröffentlicht.
Neben der Command Injection schließt das Update vier XSS-Schwachstellen im Classic Web Client, also der Classic UI. Diese Fehler könnten unter bestimmten Bedingungen zur Ausführung von Skripten führen. Ausnutzen lassen sie sich laut Zimbra über bösartige Dateinamen von Anhängen, präparierte Felder und präparierte Anhänge.
Ebenfalls behoben wurde CVE-2026-50055. Dabei handelt es sich um eine Umgehung von Beschränkungen bei der Mail-Weiterleitung. Authentisierte Angreifer konnten dadurch E-Mails exfiltrieren, selbst wenn Einschränkungen für die Weiterleitung aktiviert waren.
Hinzu kommen weitere Sicherheitsprobleme in verschiedenen Komponenten. Zimbra nennt eine Zugriffskontrollschwachstelle in der EWS-Erweiterung unter CVE-2026-10631, ein Autorisierungsproblem bei der Mailbox-Delegation unter CVE-2026-50054 sowie einen SSRF-Fehler in der Nextcloud-Integration.
Der Hersteller fordert Nutzer auf, so schnell wie möglich auf ZCS 10.1.20 zu aktualisieren. Zugleich betont der veröffentlichte Hinweis nicht, dass eine der nun geschlossenen Lücken bereits aktiv ausgenutzt wird.
Das aktuelle Sicherheitsupdate erscheint rund zwei Wochen nach einem früheren Patch von Zimbra. Damals hatte das Unternehmen eine weitere kritische XSS-Schwachstelle im Classic Web Client geschlossen, die beim Öffnen einer E-Mail zu Codeausführung führen konnte.