KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan Zimbra Collaboration (ZCS) sebagai mail server untuk segera menerapkan pembaruan keamanan atas tiga kerentanan stored cross-site scripting (XSS): CVE-2026-93641, CVE-2026-93642, dan CVE-2026-93647. Ketiganya berskor CVSS 9,3 (Critical) dan dapat dipicu oleh pengirim tanpa akun apa pun, cukup dengan mengirim pesan yang dirancang khusus ke pengguna Zimbra.

Ikhtisar

Ketiga kerentanan termasuk jenis Improper Neutralization of Input During Web Page Generation (CWE-79) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. Artinya: dapat dijangkau dari jaringan, tidak memerlukan hak akses, tetapi memerlukan satu tindakan korban (menekan tombol atau membuka pesan), dan dampaknya meluas melampaui komponen yang rentan.

• CVE-2026-93641 — pengirim tanpa autentikasi dapat memalsukan pemberitahuan berbagi folder (share notification). Skrip berjalan ketika penerima yang sedang masuk ke antarmuka Zimbra Classic menekan Accept Share.
• CVE-2026-93642 — kelemahan yang sama pada antarmuka Zimbra Modern, juga dipicu saat penerima menekan Accept Share.
• CVE-2026-93647 — pengirim undangan kalender tanpa autentikasi dapat menyisipkan markup aktif pada alamat From dalam pesan kalender bertipe COUNTER (usulan waktu tandingan). Skrip berjalan ketika penerima memilih pesan tersebut di Zimbra Classic.

Dampak

• Skrip berjalan di dalam sesi peramban korban sehingga penyerang dapat membaca isi kotak surat dan bertindak atas nama korban (membaca, mengirim, atau menghapus email).
• Kotak surat pejabat atau pengelola sistem yang disusupi dapat dijadikan pijakan untuk mengirim email penipuan dari alamat resmi instansi.
• Karena pengirim tidak perlu memiliki akun, pesan berbahaya dapat dikirim dari luar organisasi ke banyak penerima sekaligus.

Sistem yang Terdampak

Zimbra merilis 10.1.21 pada 24 September 2026. Catatan rilisnya memuat perbaikan XSS pada undangan berbagi (Classic dan Modern) serta usulan tandingan kalender (Classic). Untuk lini versi lain yang dikelola Zimbra, periksa halaman Zimbra Security Advisories guna memastikan lini yang dipakai sudah menerima perbaikan.

Platform turunan Zimbra. Produk atau distribusi yang dibangun di atas Zimbra (misalnya Carbonio) memiliki siklus rilis sendiri. Pengelolanya sebaiknya memeriksa advisory vendor masing-masing; advisory ini tidak menyatakan produk tersebut terdampak maupun tidak terdampak.

Detail Teknis

Pada ketiga kasus, data yang dikendalikan pengirim (isi pemberitahuan berbagi atau alamat pengirim pada pesan kalender) ditampilkan di antarmuka web tanpa penetralan yang memadai, sehingga markup aktif ikut dieksekusi peramban. Karena skrip berjalan dalam konteks aplikasi webmail yang sedang masuk, ia memiliki akses setara pengguna tersebut.

Eksploitasi menuntut satu interaksi pengguna: menekan Accept Share atau membuka pesan kalender yang dimaksud. Hal ini menurunkan peluang serangan massal otomatis, tetapi pesan rekayasa sosial yang meyakinkan (misalnya undangan berbagi folder dari “atasan”) tetap berpeluang berhasil. Rincian teknis lebih dalam tidak dimuat di sini.

Rekomendasi

1. Perbarui Zimbra Collaboration ke 10.1.21 atau lebih baru pada seluruh node yang menjalankan layanan web mail, mengikuti prosedur peningkatan resmi Zimbra dan didahului pencadangan.
2. Untuk platform turunan Zimbra, periksa advisory vendor platform tersebut dan terapkan perbaikan yang disediakan.
3. Selama pembaruan belum dapat dilakukan, imbau pengguna agar tidak menekan Accept Share dan tidak membuka undangan atau usulan kalender dari pengirim yang tidak dikenal.
4. Tinjau log akses webmail dan log pengiriman email untuk mendeteksi aktivitas tidak wajar, seperti email keluar yang tidak dikirim pemilik akun atau aturan penerusan (forwarding) baru.
5. Bila ada akun yang diduga terdampak, ganti kata sandi, akhiri sesi aktif, dan periksa aturan filter serta penerusan pada akun tersebut.
6. Laporkan indikasi penyusupan melalui kanal pelaporan resmi atau ke csirt@kutaitimurkab.go.id.

Catatan Status Eksploitasi

Ketiga CVE belum tercatat di katalog Known Exploited Vulnerabilities (KEV) CISA per 26 September 2026. Meski demikian, kerentanan XSS pada webmail yang dapat dipicu tanpa akun pernah beberapa kali dimanfaatkan penyerang dalam waktu singkat setelah dipublikasikan. Status “belum tercatat” tidak boleh dijadikan alasan menunda pembaruan.

Rincian CVE

Referensi

• NVD – CVE-2026-93641
• NVD – CVE-2026-93642
• NVD – CVE-2026-93647
• Zimbra – catatan rilis 10.1.21
• Zimbra Security Advisories
• CISA Known Exploited Vulnerabilities Catalog