最近の脆弱性 › CVE-2025-68645

Synacor Zimbra Collaboration Suite (ZCS) の脆弱性（CVE-2025-68645）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-68645
製品	Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2026-01-22
米国政府機関の対応期限	2026-02-12
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-98

何が起きた

メールとグループウェアの Synacor Zimbra Collaboration Suite (ZCS) の Webmail Classic UI に、サーバー内のファイルを読み込ませられる弱点（ファイルインクルード）が見つかりました。攻撃者は /h/rest という窓口に細工したリクエストを送ることで、内部の処理の振り分けを操り、WebRoot というフォルダにある任意の（攻撃者が選んだ）ファイルを読み込ませられます。NVD の説明ではログインしていない攻撃者がネットワーク経由で悪用できるとされ、NVD の評価では利用者の何らかの操作が必要とされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra Collaboration（ZCS）の 10.0 と 10.1 を使っている組織が対象です。

何をすればいい

Zimbra のセキュリティセンターによると、この弱点は ZCS 10.1.13 と ZCS 10.0.18 で修正されています。10.1 系は 10.1.13 以降、10.0 系は 10.0.18 以降に更新されているか確認してください。あわせて公式の案内を確認してください。

やることチェックリスト

ZCS 10.1 系を 10.1.13 以降に更新する
ZCS 10.0 系を 10.0.18 以降に更新する
使っている ZCS の版番号を確認する

用語メモ

ファイルインクルード: プログラムが読み込むファイルを外から指定できてしまい、意図しないファイルを読み込ませられる弱点です。
リクエスト: ブラウザーなどからサーバーに送る、「これを見せて」「これをして」というお願いのことです。
WebRoot: ウェブサーバーで、公開するページやプログラムが置かれているフォルダのことです。

元データ（英語・CISA KEV より）

Synacor Zimbra Collaboration Suite (ZCS) PHP Remote File Inclusion Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a PHP remote file inclusion vulnerability that could allow for remote attackers to craft requests to the /h/rest endpoint to influence internal request dispatching, allowing inclusion of arbitrary files from the WebRoot directory.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.