Il 10 luglio Zimbra ha diffuso un avviso di sicurezza che invita i clienti ad aggiornare subito: una falla grave nel suo Classic Web Client — la vecchia interfaccia della webmail — permette a un’email costruita ad arte di eseguire codice malevolo nel momento in cui viene aperta. In pratica, non serve cliccare su nulla dentro il messaggio: basta visualizzarlo. La correzione è già disponibile nella versione 10.1.19, rilasciata il 9 luglio.
Cos’è Zimbra (e perché forse lo usi senza saperlo)
Zimbra è una piattaforma di posta elettronica e collaborazione che molte aziende usano al posto dei classici servizi cloud: gestisce email, calendari e contatti su un server dedicato. È molto diffusa tra PMI, studi professionali e enti italiani, spesso perché è la webmail fornita dall’hosting, dal provider o dal consulente informatico che segue l’azienda.
Il punto è proprio questo: chi accede alla propria posta da un indirizzo del tipo “webmail.nomeazienda.it” potrebbe usare Zimbra senza averlo mai scelto consapevolmente. E se la casella gira su una versione non aggiornata del Classic Web Client, la falla la riguarda.
Rilasciata il 9 luglio 2026. Chiude una vulnerabilità di tipo XSS nel Classic Web Client che consente a un'email malevola di eseguire codice all'apertura e sottrarre dati di sessione, impostazioni dell'account e contenuti della casella.
Fonte: Zimbra, BleepingComputer, The Hacker News, Security Affairs — luglio 2026
Cosa può fare, in concreto, un attacco riuscito
Secondo l’avviso, sfruttando la falla un aggressore può rubare dati di sessione, impostazioni dell’account e informazioni della casella: significa potenzialmente leggere la posta, impossessarsi di una sessione già aperta e mettere le mani sui contenuti dell’account. Per un’azienda, la casella di posta è spesso la chiave che apre tutto il resto — recuperi password, comunicazioni con clienti e fornitori, documenti allegati.
Due precisazioni utili a inquadrare il rischio senza allarmismi. La prima: la falla riguarda il Classic Web Client, cioè la vecchia interfaccia web, non necessariamente ogni configurazione. La seconda: al momento della segnalazione non risulta sfruttata in attacchi noti. La vulnerabilità è stata individuata dal Threat Analysis Group di Google, il gruppo che si occupa di minacce avanzate. Il rischio, come sempre in questi casi, cresce ora che falla e correzione sono di dominio pubblico.
Se il server Zimbra lo amministri tu (o il tuo reparto IT), l'aggiornamento alla 10.1.19 è un'azione tecnica diretta da pianificare subito. Se invece la webmail te la fornisce un hosting o un consulente, l'aggiornamento non spetta a te: la mossa è una domanda al fornitore. Stessa falla, due risposte.
Cosa fare, in concreto
- Se gestisci tu il server Zimbra (o il tuo reparto IT): verifica la versione in uso e aggiorna alla 10.1.19, dando priorità ai server con il Classic Web Client esposto a internet. È l’azione che chiude la falla.
- Se la webmail te la dà un fornitore o un hosting: non devi intervenire a mano, ma puoi chiedere. Una mail di due righe al provider — “la nostra posta gira su Zimbra? è stata aggiornata alla 10.1.19 per la falla del Classic Web Client segnalata il 10 luglio?” — è legittima e ti dà una risposta certa.
- Nel frattempo, con i collaboratori: vale la regola di sempre, che qui conta doppio. Prudenza con le email inattese, soprattutto quelle che spingono ad aprire in fretta, e attenzione a comportamenti anomali della casella (sessioni che si chiudono, impostazioni cambiate da sole).
In breve
Il 10 luglio Zimbra ha segnalato una falla grave nel Classic Web Client: un’email costruita ad arte esegue codice all’apertura e può rubare dati di sessione, impostazioni e contenuti della casella. La correzione è nella versione 10.1.19. Zimbra è spesso invisibile al titolare d’impresa, ma regge la posta di molte PMI e studi professionali. Chi amministra il server aggiorna; chi si appoggia a un fornitore chiede conferma. Non risulta ancora sfruttata: proprio per questo è il momento giusto per muoversi.