2026 年 9 月 25 日，Zimbra 协作套件（ZCS）释出一批安全更新，共修复四个高危漏洞。其中 CVE-2026-93643 位于 OnlyOffice 文档编辑组件，是一条未认证路径遍历，CVSS 3.1 评分 9.8，攻击者不需要任何账号即可在目标服务器写入文件并执行命令。官方修复版本为 Zimbra Collaboration 10.1.21，截至发稿无公开 PoC。
事件概述
Zimbra Collaboration Suite 是政企、教育和运营商环境中常见的邮件与协作平台，通常直接对外提供 Web 客户端、EWS 接口与文档在线预览编辑服务。据 CVE 记录，该漏洞由 Rapid7 高级安全研究员 Jonah Burgess 发现并报告。同一批更新还包含 CVE-2026-93641、CVE-2026-93642、CVE-2026-93647 三条 CVSS 9.3 的存储型跨站脚本。
技术细节
CVE-2026-93643 同时命中 CWE-22（路径遍历）与 CWE-863（授权不当）两类缺陷。
- 触发前提：目标实例已启用 OnlyOffice / 文档编辑功能，且存在至少一个对外可访问的 Briefcase 公开文档。这两项在企业默认部署中相当常见。
- 攻击路径：未认证攻击者访问公开 Briefcase 文档后，篡改保存请求中未经签名的字段，绕开路径校验，将文件写到预期目录之外。
- 执行结果：写入口令文件后以 zimbra 服务账号身份执行任意命令，整个过程无需用户交互。
三条 XSS 的入口同样不需要凭据：CVE-2026-93647 允许未认证的日历发送方在 COUNTER 消息的 RFC From 地址中植入活动标记；CVE-2026-93641 与 CVE-2026-93642 则允许伪造共享通知，已登录用户在 Classic 或 Modern 客户端点击 Accept Share 时触发脚本执行，进而读取邮件内容。
影响评估
- 权限级别：RCE 后落在 zimbra 账号下，该账号持有邮件存储、配置与密钥材料的读写权限，是通向宿主与内网的高价值跳板。
- 利用门槛：同批漏洞均无公开利用代码，EPSS 处于低位，短期被大规模扫描的概率不高。
- 长期风险：Zimbra 长期是 APT 的重点目标。2025 年的 CVE-2025-66376 零点击 XSS 曾被用于针对机构的长期活动，CVE-2026-73570 也已进入 CISA KEV 目录并有核弹模板流通，说明该产品的暴露面一旦被武器化，修补窗口极短。
修复建议
- 升级 Zimbra Collaboration 至 10.1.21 或更高版本。
- 短期无法升级时，关闭 OnlyOffice / 文档编辑功能，直接消除 CVE-2026-93643 的攻击向量。
- 审计 Briefcase 模块日志，留意目录外的异常写入与可疑二进制落盘。
- 将 Web 客户端、EWS 与管理端口限制在可信网络，避免直接暴露公网。