Zimbra: обслуживание, уязвимости и переезд со старых версий

Zimbra стоит у сотен российских компаний, и почти везде — старая, без обновлений, с админом, который уволился. Я собрал здесь 45 разбора из собственной практики: от «что у вас вообще за сервер» до полного переезда. Начните с первого блока — он отвечает на вопрос, есть ли у вас проблема.

Прежде чем чинить или переезжать, надо понять, что стоит. Здесь — команды, которые дают ответ за несколько минут, и разбор того, как читать результат.

• Какая у вас Zimbra на самом деле: версия, патч-уровень, риск
  У клиента-юрфирмы в Хамовниках почтовый сервер работал шесть лет и ни разу не подводил.
• Чинить Zimbra или переезжать: 14 параметров для решения
  К клиенту-бухгалтерской фирме на Тверской я приехал не чинить почту, а ответить на один вопрос: во что вкладываться.
• Куда ушли 900 ГБ: считаем реальный объём Zimbra перед переездом
  У клиента-торговой компании в Балашихе почтовый сервер съел терабайт и начал отбивать входящие.
• Ежемесячный чек-ап Zimbra: девять команд и таблица трактовки
  К клиенту-производству в Химках я за девять месяцев приезжал трижды.
• Что у вашей Zimbra торчит наружу: аудит портов и админки
  У клиента-медклиники в Одинцове почтовый сервер отдавал наружу админ-консоль, служебный порт postjournal и memcached.
• Админ уволился, паролей нет: как за день описать чужую Zimbra
  Гостиница в Подольске на тридцать рабочих мест осталась с почтовым сервером, к которому никто не знал пароля.

Разбор конкретных уязвимостей по механике, признаки уже случившейся компрометации в логах, харденинг и реальный пост-мортем взлома.

• CVE-2024-45519: как письмо в поле CC превращается в RCE
  Транспортная компания в Мытищах, 38 рабочих мест.
• CVE-2025-66376: XSS через CSS @import и кража архива почты
  Строительная компания на Авиамоторной, 33 рабочих места.
• SQL-инъекция в ZimbraSync и SSRF в RSS: CVE-2025-25064 и 25065
  Проектное бюро на Дмитровском шоссе, 26 рабочих мест.
• Fail2ban для Zimbra: 44 тысячи попыток входа за две недели
  Дистрибьютор в Хамовниках, 40 рабочих мест.
• Пост-мортем взлома Zimbra: майнер, sudo nginx и root за сутки
  В автосервисе на Тверской, 22 рабочих места, почтовый сервер стоял с 2019-го, и его боялись трогать: работает — не лезь.
• Laundry Bear и CVE-2026-73570: под ударом ли ваша Zimbra
  Учебный центр в Балашихе, 18 рабочих мест, свой почтовый сервер за стенкой.
• Двенадцать следов взлома Zimbra, которые видно в логах
  В юрфирме в Химках, 44 рабочих места, меня позвали к «тормозящей» почте.
• Харденинг Zimbra: 16 пунктов, которые закрывают 90% атак
  В бухгалтерскую фирму в Одинцово, 20 рабочих мест, я пришёл в ноябре 2023-го принимать на обслуживание чужой почтовый сервер.
• Двухфакторная аутентификация в Zimbra OSE: чего в ней нет
  Торговая компания в Подольске, 36 рабочих мест, прислала мне в июле 2024 короткое сообщение: «прочитали, что в Zimbra есть двухфакторка, включите нам, у нас OSE».
• БДУ ФСТЭК и Zimbra: что показывает проверка аттестованной ИС
  На производстве в Мытищах, 50 рабочих мест, я разбирал вопрос, который до меня три недели гоняли по кругу между директором, бухгалтерией и приходящим админом.

Симптомы, с которыми обращаются чаще всего. По каждому — что это на самом деле, почему штатная диагностика вводит в заблуждение и как чинить.

• Zimbra не поднялась после апгрейда: три причины за один вечер
  Медклиника на Авиамоторной, 16 рабочих мест, вечер пятницы.
• OutOfMemoryError в mailboxd: PDF на 10 КБ, который весит 112 МБ
  Гостиница на Дмитровском шоссе, 34 рабочих места, февраль 2020-го.
• LDAP Zimbra не стартует: error:14090086 и старый сертификат
  Транспортная компания в Хамовниках, 27 рабочих мест, октябрь 2019-го.
• LDAP-реплика Zimbra разъехалась: TLS, схемы и MDB_CORRUPTED
  Строительная компания на Тверской, 45 рабочих мест, апрель 2022-го.
• «Unable to determine enabled services from ldap»: пять причин
  Проектное бюро в Балашихе, 19 рабочих мест, январь 2021 года.
• InnoDB в Zimbra после аварии питания: recovery 1→6 и дамп
  Дистрибьютор в Химках, 32 рабочих места, июль 2020 года.
• Очередь Postfix в Zimbra растёт: amavis, ClamAV и resolv.conf
  Автосервис в Одинцово, 14 рабочих мест, март 2023 года.
• «452 4.3.1 Insufficient system storage»: добавляем том store2
  Учебный центр в Подольске, 21 рабочее место, май 2019 года.
• «Possibly corrupt index»: переиндексация, которая зацикливалась
  Юридическая фирма в Мытищах, 29 рабочих мест, октябрь 2022 года.
• Сертификаты Zimbra: zmcertmgr, цепочка и автопродление LE
  У клиента-бухгалтерской фирмы на Авиамоторной сертификат истёк в субботу утром.
• «no memcache server available»: 502 на всей веб-почте Zimbra
  У клиента-торговой компании на Дмитровском шоссе во вторник утром веб-почта начала отдавать 502 всем сразу.
• Антиспам Zimbra: порог 6.31, zmtrainsa и мёртвые обновления
  У клиента-производства в Хамовниках антиспам был включён, а спама приходило по сорок писем в день на человека.
• Письма Zimbra улетают в спам при валидных SPF, DKIM и DMARC
  У клиента-медклиники на Тверской письма падали в спам у половины контрагентов.
• Переполненный ящик Zimbra копит deferred пять суток, потом bounce
  У клиента-гостиницы в Балашихе директор неделю не получал почту и узнал об этом от контрагента по телефону.
• Веб-почта Zimbra открывается две минуты: IOwait и буфер InnoDB
  У клиента-логистики в Химках страница входа в почту грузилась две минуты, и ещё две уходило на сам вход.
• Переезд Zimbra на новый IP и hostname: zmsetservername целиком
  Стройке в Одинцове меняли провайдера, и вместе с ним менялся весь адресный план — включая почтовый сервер.
• zmcontrol status висит и врёт: PID-файлы, таймаут 60 секунд
  В проектное бюро в Подольске меня вызвали на вторые сутки войны с почтовым сервером, который, как выяснилось, всё это время работал.

Самая дорогая иллюзия в почте — «бэкап есть». Здесь про то, чем проверяют восстановимость, а не наличие копии.

• Бэкап Zimbra OSE без Zextras: холодный и горячий способы
  Дистрибьютор из Мытищ платил за облачное хранилище четвёртый год и был уверен, что почта у него защищена.
• Бэкап Zimbra есть, а восстановиться нельзя: четыре причины
  Автосервису на Авиамоторной два года каждую ночь уезжал архив почтового сервера на сетевое хранилище.
• Учение по восстановлению Zimbra: развернуть с нуля за шесть часов
  Учебный центр на Дмитровском шоссе, 13 рабочих мест, почта на Zimbra с 2019 года.
• Коммерческий бэкап Zimbra тоже падает: OperationBlockingError
  Юрфирма в Одинцово, 47 рабочих мест, Zimbra Network Edition.
• Вернуть одно удалённое письмо: dumpster, zmmailbox и флаг -A
  Бухгалтерская фирма в Подольске, 12 рабочих мест.
• Бэкап Zimbra, не зависящий от вендора: LDIF, дамп и IMAP-копия
  Торговая компания в Королёве, 35 рабочих мест, 54 ящика и 1,4 ТБ почты.

Что делать с версией, которая больше не получает обновлений, и с операционной системой под ней.

• Матрица апгрейд-путей Zimbra: почему нельзя прыгать через версию
  Производственная компания на Авиамоторной, 44 рабочих места.
• Конец поддержки Zimbra 8.8.15: что делать бизнесу на ней в 2026
  В марте 2026 меня позвали в медклинику на 26 рабочих мест на Дмитровском шоссе: страховой партнёр прислал анкету по защите персональных данных, и в графе «почтовый сервер, версия, дата…
• CentOS 7 под Zimbra после 30 июня 2024: сервер жив, ОС мертва
  В декабре 2024 гостиница на 38 рабочих мест в Хамовниках получила от банка-эквайера отчёт внешнего сканирования: 61 находка, из них четырнадцать помечены как критические.
• Zimbra Network Edition против Open Source: чего лишается бизнес
  В августе 2023 меня позвала транспортная компания с офисом в переулке за Тверской — 30 диспетчеров и логистов.
• Апгрейд Zimbra 9 → 10: на месте или на новом сервере
  В июне 2025 строительная компания из Балашихи, 40 рабочих мест, попросила поднять почту с девятки на десятку.
• Обновления Zimbra из России: freshclam, зеркала и лицензии
  В понедельник 12 сентября 2022 года мне позвонили из проектного бюро в Химках — 24 рабочих места, конструкторы и ГИПы.

С какой статьи начинать, если я вообще не знаю состояния сервера?

С первой в блоке A. Там три команды, которые показывают версию, патч-уровень и дату последнего успешного восстановления. Этого хватает, чтобы понять, разговор про плановое обслуживание или про срочные работы.

У меня Zimbra 8.8.15. Насколько всё плохо?

Эта ветка не получает обновлений с конца 2023 года. Значит, все уязвимости, закрытые после этой даты, у вас открыты. Разбор трёх сценариев — остаться и харденить, обновиться, уйти на другую платформу — со сроками и деньгами в блоке E.

Можно ли просто обновиться до десятой версии и забыть?

Нельзя «просто». С десятой версии Zimbra требует лицензию Network Edition, и установщик не начнёт апгрейд без ключа. Бесплатной десятки не существует. Это отдельная статья расходов, и её надо считать заранее.

Вы пишете про свои случаи. А данные клиентов?

Во всех разборах сегмент и размер компании настоящие, а имена, домены и адреса не называются. Ни один кейс нельзя привязать к конкретной организации.

Что делать, если моей ситуации здесь нет?

Напишите мне в Telegram и приложите вывод трёх команд из любой статьи блока A. За рабочий день отвечу, что у вас на самом деле и сколько стоит привести в порядок.