In merito alle vulnerabilità “PHP2Shell” nel runtime PHP (CVE-2026-109618 e CVE-2026-109619), Zimbra comunica che la sua soluzione Zimbra Collaboration Suite (ZCS) non può essere compromessa dall’esterno tramite queste vulnerabilità. Il prodotto e la piattaforma Zimbra, nel loro nucleo, non utilizzano PHP.

Tuttavia, un componente PHP è incluso nel software ed è utilizzato esclusivamente da un servizio interno di controllo ortografico, il quale non è accessibile da Internet.

La valutazione di Zimbra della sicurezza classifica il rischio come “basso”; includerà la correzione fornita dagli sviluppatori di PHP nella prossima release, prevista per dicembre 2026.

Come misura precauzionale, gli amministratori di sistema possono disabilitare temporaneamente il servizio di controllo ortografico eseguendo il comando zmspellctl stop come utente zimbra. Questa operazione non influirà sui servizi di posta elettronica; semplicemente, il controllo ortografico non sarà disponibile finché il servizio non verrà riattivato.

Questa modifica non viene mantenuta dopo il riavvio del server.

Siti della community Zimbra: alcuni dei siti web pubblici di Zimbra utilizzano PHP, tra cui la Wiki di Zimbra e i forum di Zimbra. Tali siti sono stati aggiornati con le relative patch e sono pienamente operativi.

Fonte: Zimbra