Zimbra Rilis Tambalan untuk Celah Kritis yang Memungkinkan Eksekusi Kode Lewat Email

Sebuah celah keamanan kritis pada platform kolaborasi Zimbra memungkinkan penyerang mengeksekusi kode berbahaya tanpa perlu interaksi pengguna—cukup dengan membuka email yang telah direkayasa. Kerentanan ini, yang memengaruhi Classic Web Client, telah ditambal oleh Zimbra pada versi terbaru yang dirilis awal Juli.

Zimbra, yang sebelumnya dikenal sebagai Zimbra Collaboration Suite (ZCS), adalah solusi komunikasi yang mencakup server email dan klien web, serta fitur berbagi file, kalender, dan manajemen tugas. Celah yang ditemukan tergolong stored cross-site scripting (XSS) dan dinilai sangat kritis karena dapat menyebabkan eksekusi kode saat email dibuka. Menurut pengumuman resmi Zimbra, eksploitasi berhasil dapat memberikan akses ke informasi kotak surat, data sesi, atau pengaturan akun pengguna.

Perusahaan belum merinci detail teknis kerentanan ini dan tampaknya belum memiliki nomor CVE. Namun, Zimbra mendesak seluruh pelanggan yang menggunakan Classic Web Client untuk segera memperbarui sistem mereka. Tambalan tersedia dalam Zimbra versi 10.1.19, yang dirilis pada 7 Juli. Bagi pengguna yang melakukan upgrade dari ZCS versi 10.0.x, 9.0.x, atau 8.8.15, Zimbra menekankan pentingnya memperbarui mitigasi SNMP dan menerapkannya kembali setelah upgrade selesai.

Menariknya, kerentanan ini dilaporkan oleh Google Threat Analysis Group (GTIG), unit yang biasanya mendeteksi celah yang dieksploitasi oleh kelompok yang didukung negara dan vendor spyware komersial. Hal ini menunjukkan bahwa celah tersebut mungkin telah menjadi target aktor berbahaya dengan sumber daya tinggi. Bagi pengguna di Indonesia, terutama instansi pemerintah dan perusahaan yang mengandalkan Zimbra untuk komunikasi internal, risiko ini tidak bisa dianggap remeh. Serangan zero-click seperti ini dapat membahayakan data sensitif tanpa sepengetahuan korban.

Di Indonesia, Zimbra banyak digunakan oleh sektor pendidikan, perbankan, dan layanan publik sebagai alternatif berbiaya rendah untuk email dan kolaborasi. Dengan belum adanya CVE dan detail teknis yang minim, para administrator sistem disarankan tidak menunda pembaruan. “Kami sangat merekomendasikan semua pelanggan untuk meningkatkan ke ZCS v10.1.19 guna memastikan mereka menerima tambalan keamanan terbaru,” tulis Zimbra dalam pernyataannya.

Ke depannya, pengungkapan celah oleh GTIG menimbulkan pertanyaan: apakah kerentanan ini sudah dieksploitasi secara aktif? Meski Zimbra tidak menyebutkan adanya serangan di alam liar, pengguna tetap harus waspada. Dengan tren peningkatan serangan siber yang menargetkan infrastruktur komunikasi, pembaruan segera menjadi langkah preventif yang krusial.