BSI warnt: 40 Prozent der deutschen Zimbra-Server sind angreifbar
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt regelmäßig vor Tausenden von deutschen Exchange-Servern , die noch auf einer veralteten Systemversion basieren und damit über bekannte Schwachstellen angreifbar sind. Ein ähnliches Bild zeichnet sich aber einem neuen Mastodon-Beitrag des Cert-Bund(öffnet im neuen Fenster) zufolge ebenso bei der E-Mail- und Groupwarelösung Zimbra ab, wenn auch in kleinerem Ausmaß.
In Deutschland klaffen demnach in etwa 40 Prozent der rund 1.500 vom BSI erfassten Zimbra-Server gefährliche Schwachstellen, weil sie noch auf teilweise stark veralteten Versionen basieren. Mit Stand vom 8. Januar läuft auf rund 20 Prozent der Server noch die Zimbra-Version 8.x.
Die Versionen 9.0 und 10.0 liegen jeweils unterhalb der Fünf-Prozent-Marke. Knapp über zehn Prozent der Systeme basieren laut Cert-Bund immerhin auf Zimbra 10.1, wenn auch auf einer Version vor 10.1.13. Die verbleibenden 60 Prozent der Zimbra-Server sind mit der Anfang November 2025 veröffentlichten(öffnet im neuen Fenster) und damit halbwegs aktuellen Version 10.1.13 oder neuer ausgestattet.
Großteil der Zimbra-Server gefährdet
Das Cert-Bund warnt vor diesem Hintergrund, dass alle Zimbra-Instanzen, die auf einer Version vor 10.1.13 basieren, anfällig für gefährliche Sicherheitslücken wie CVE-2025-68645(öffnet im neuen Fenster) sind. Letztere ermöglicht es Angreifern, ohne vorherige Authentifizierung manipulierte Anfragen zu verschicken, die einen Zugriff auf beliebige Dateien aus dem Webroot-Verzeichnis des Servers erlauben.
Ursache für CVE-2025-68645 ist laut Schwachstellenbeschreibung eine unsachgemäße Verarbeitung von benutzerdefinierten Anfrageparametern im Restfilter-Servlet. Die Lücke wurde erst im Dezember 2025 öffentlich bekannt und erreicht mit einem CVSS-Wert von 8,8 einen hohen Schweregrad. Administratoren sollten ihre Zimbra-Server zügig patchen, um die Systeme vor möglichen Attacken zu schützen. Die neueste Zimbra-Version wurde am 25. November veröffentlicht und trägt die Versionsnummer 10.1.15(öffnet im neuen Fenster) .