Cosa è successo

Il 7 luglio 2026 Zimbra ha rilasciato la versione 10.1.19 della sua Collaboration Suite per correggere una vulnerabilità critica di cross-site scripting (XSS) di tipo stored nel Classic Web Client, la vecchia interfaccia webmail ancora attiva su moltissimi server. Il difetto permette a un'email costruita ad arte di eseguire codice JavaScript nel contesto della sessione della vittima nel momento stesso in cui il messaggio viene aperto: non serve scaricare allegati né cliccare link, basta leggere la mail.

La segnalazione arriva dal Threat Analysis Group (TAG) di Google, il team che monitora le campagne di spionaggio statale e gli zero-day sfruttati in attacchi mirati. Al momento della divulgazione Zimbra non ha assegnato né un identificativo CVE né un punteggio CVSS, e non ha confermato sfruttamento attivo in rete. Il coinvolgimento del TAG di Google, però, è di per sé un segnale: quel gruppo si occupa in genere di falle che interessano attori sofisticati, non di bug teorici.

Perché una XSS nel webmail non è "solo" una XSS

Detta così, una cross-site scripting può sembrare un problema minore. Nel contesto di un client di posta, invece, è tra le cose peggiori che possano capitare. Uno script che gira nella sessione autenticata della webmail eredita tutti i permessi dell'utente: può leggere la casella, esfiltrare i messaggi, rubare i token di sessione e i cookie, modificare le impostazioni dell'account — per esempio creando regole di inoltro automatico che spediscono copia di ogni email all'attaccante — e in molti scenari propagarsi ad altri utenti dello stesso server. Trattandosi di XSS stored, il payload malevolo resta salvato lato server dentro il messaggio: viene rieseguito ogni volta che quella mail viene aperta, anche da un amministratore.

Il tratto che rende questa classe di falle particolarmente insidiosa è l'assenza di interazione significativa: la vittima non compie alcun errore, apre semplicemente un'email dall'aspetto normale. È lo stesso meccanismo che ha reso preziose, per i gruppi di spionaggio, le precedenti vulnerabilità di Zimbra.

Le falle di Zimbra sono un bersaglio storico

Non è la prima volta. Zimbra è finito ripetutamente nel mirino: tra il 2022 e il 2023 diverse vulnerabilità del prodotto — tra cui XSS e falle di esecuzione di comandi — sono state sfruttate in campagne reali contro caselle di posta di enti governativi e ministeri europei, al punto che la CISA ne ha inserite alcune nel proprio catalogo Known Exploited Vulnerabilities. La ragione è semplice: la posta elettronica è l'archivio più ricco di un'organizzazione — contiene comunicazioni riservate, credenziali, allegati sensibili — e Zimbra ha un'ampia base installata di server esposti su Internet. Ogni nuova falla del webmail parte quindi con un bersaglio già dipinto addosso.

Cosa significa per le aziende e la PA italiane

In Italia Zimbra ha una diffusione tutt'altro che marginale: è adottato da numerose pubbliche amministrazioni, università, aziende sanitarie e PMI come alternativa on-premise alle suite cloud di Microsoft e Google, proprio per mantenere il controllo diretto dei dati. Questo lo rende un obiettivo di valore e, insieme, un punto di attenzione per chi lo gestisce.

Il rischio concreto è duplice. Da un lato la compromissione di singole caselle di personale con accesso a dati riservati; dall'altro, per gli enti soggetti alla direttiva NIS2, un incidente su un sistema di posta rientra a pieno titolo tra gli eventi che possono richiedere la notifica al CSIRT Italia. Un data breach che coinvolga email — quindi potenzialmente dati personali — fa scattare anche gli obblighi del GDPR: valutazione entro 72 ore e, se ricorre il rischio per gli interessati, notifica al Garante. Per un'amministrazione che gestisce dati dei cittadini, una casella violata non è un incidente tecnico isolato ma un evento con conseguenze legali e reputazionali.

Cosa fare subito

  • Aggiornare a Zimbra Collaboration Suite 10.1.19 il prima possibile: è la correzione ufficiale della falla.
  • Chi proviene da versioni 10.0.x, 9.0.x o 8.8.15 deve, dopo l'aggiornamento, riapplicare la mitigazione SNMP seguendo i passi aggiornati nel Security Advisory di Zimbra.
  • Dove non è possibile aggiornare subito, valutare la disattivazione temporanea del Classic Web Client a favore della nuova interfaccia (Modern Web Client), meno esposta a questa specifica classe di problemi.
  • Verificare la presenza di regole di inoltro o filtri sospetti creati di recente sulle caselle, un tipico segnale post-compromissione.
  • Controllare i log di accesso alla webmail per sessioni anomale e forzare, in caso di dubbio, la reimpostazione delle password e l'invalidazione delle sessioni attive.
  • Ridurre l'esposizione: limitare l'accesso amministrativo alla console e, dove possibile, filtrare l'accesso al webmail dalle reti non attese.