• ひとことでZimbra のメール画面で、予定データに仕込まれたスクリプトが動く弱点です。
  • 深刻度5.4 警告CVSS v3.1
  • まずやること10.1 系は 10.1.5 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-27915
製品Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）5.4 警告CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2025-10-07
米国政府機関の対応期限2025-10-28
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）

何が起きた

Zimbra Collaboration Suite (ZCS) の Classic Web Client に、保存型のクロスサイトスクリプティングという弱点が見つかりました。ICS ファイル（予定表のデータ）の中の HTML を十分に無害化していないため、細工した予定を含むメールを利用者が見ると、埋め込まれた JavaScript が動きます。その結果、メールを攻撃者のアドレスへ転送するフィルターを設定されるなど、利用者のアカウントで不正な操作をされ、データを持ち出される可能性があります。NVD に登録された CISA の評価では、ネットワーク経由で悪用でき、攻撃者には一般利用者程度の権限が、被害者にはメールを見る操作が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した予定入りのメールを送る → 2. 利用者が Classic Web Client でメールを見る → 3. 埋め込まれた JavaScript が動く → 4. メールの転送設定などを変えられる1攻撃者が細工した予定入りのメールを送る2利用者が Classic Web Client でメールを見る3埋め込まれた JavaScript が動く4メールの転送設定などを変えられる攻撃の流れ: 1. 攻撃者が細工した予定入りのメールを送る → 2. 利用者が Classic Web Client でメールを見る → 3. 埋め込まれた JavaScript が動く → 4. メールの転送設定などを変えられる1攻撃者が細工した予定入りのメールを送る2利用者が Classic Web Client でメールを見る3埋め込まれた JavaScript が動く4メールの転送設定などを変えられる攻撃の流れ: 1. 攻撃者が細工した予定入りのメールを送る → 2. 利用者が Classic Web Client でメールを見る → 3. 埋め込まれた JavaScript が動く → 4. メールの転送設定などを変えられる1攻撃者が細工した予定入りのメールを送る2利用者が Classic Web Client でメールを見る3埋め込まれた JavaScript が動く4メールの転送設定などを変えられる

誰が影響を受ける

Zimbra Collaboration Suite (ZCS) の 9.0、10.0、10.1 を使っている組織と、その Classic Web Client でメールを読む利用者が対象です。

何をすればいい

メーカーの公式の案内を確認し、修正版に更新されているか確認してください。修正版は、10.1 系が 10.1.5、10.0 系が 10.0.13、9.0 系が 9.0.0 Patch 44 です。メーカーは、すべての利用者にすぐ更新するよう強く勧めています。

やることチェックリスト

  • 10.1 系は 10.1.5 以降に更新する
  • 10.0 系は 10.0.13 以降に更新する
  • 9.0 系は 9.0.0 Patch 44 以降を適用する

用語メモ

クロスサイトスクリプティング 用語集で見る
Web ページに悪いスクリプトを紛れ込ませ、見た人のブラウザーで動かす攻撃です。
ICS ファイル
予定表（カレンダー）の予定をやり取りするためのファイルの形式です。
JavaScript 用語集で見る
Web ページの中で動くプログラムの言語です。

次に読む

同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2026-73570）8.9 重要CVSS v3.1Zimbraで、SNMPの通知を有効にしていると、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2025-48700）6.1 警告CVSS v3.1Zimbra のメール画面で、細工したメールを開くと悪い命令が動く弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability that exists in the Classic Web Client due to insufficient sanitization of HTML content in ICS files. When a user views an e-mail message containing a malicious ICS entry, its embedded JavaScript executes via an ontoggle event inside a tag. This allows an attacker to run arbitrary JavaScript within the victim's session, potentially leading to unauthorized actions such as setting e-mail filters to redirect messages to an attacker-controlled address. As a result, an attacker can perform unauthorized actions on the victim's account, including e-mail redirection and data exfiltration.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る