Zimbra 10.1.21 Daffodil: điểm mới, lỗi bảo mật và hướng dẫn cập nhật

Zimbra phát hành bản vá 10.1.21 Daffodil: điểm mới, lỗi bảo mật và hướng dẫn cập nhật

Ngày 24/09/2026, Zimbra phát hành bản vá Zimbra Collaboration 10.1.21 (Daffodil). Đây là bản vá nên được ưu tiên triển khai cho các hệ thống đang chạy nhánh 10.1.x, vì bản này không chỉ sửa lỗi bảo mật mà còn bổ sung một số tính năng khá thực tế cho người dùng cuối và quản trị viên.

Nếu hệ thống của bạn đang ở Zimbra 10.1.x, nên lên kế hoạch cập nhật trong khung bảo trì gần nhất. Với các hệ thống còn chạy Zimbra 8.8.15, 9.0 hoặc 10.0, cần nâng cấp lên nhánh 10.1 trước, vì bản vá này không áp dụng trực tiếp cho các nhánh đã hết vòng đời hỗ trợ.

Bài viết dưới đây tóm tắt các điểm mới, các lỗi bảo mật đáng chú ý và quy trình cập nhật bằng system package upgrade trên Redhat/Rocky Linux/Oracle Linux và Ubuntu. Các lệnh cài đặt, kiểm tra và cấu hình được giữ nguyên để quản trị viên có thể dùng lại khi cần.

Những thay đổi đáng chú ý trong Zimbra 10.1.21

Thu hồi email đã gửi

Zimbra 10.1.21 bổ sung tính năng Mail Recall cho Modern Web App và Zimbra Desktop. Người dùng có thể thu hồi email nội bộ đã gửi trong khoảng thời gian được quản trị viên cấu hình.

Tính năng này hữu ích trong các tình huống rất đời thường: gửi nhầm người nhận, quên đính kèm file, gửi nhầm bản nháp hoặc gửi email nội bộ chứa thông tin nhạy cảm. Khi thu hồi thành công, email được gỡ khỏi hộp thư người nhận và người gửi nhận thông báo xác nhận.

Với các tổ chức chuyển từ Outlook/Exchange sang Zimbra, đây cũng là tính năng thường được hỏi đến vì người dùng đã quen với cơ chế recall mail.

Per-Domain IdP và SAML Routing

Bản 10.1.21 cho phép mỗi domain dùng một Identity Provider riêng cho đăng nhập tập trung SSO. Quản trị viên có thể cấu hình qua SAML Setup Wizard trong Admin Console thay vì chỉnh file thủ công.

Điểm này đặc biệt có ích với hệ thống nhiều domain: tập đoàn có nhiều công ty con, cơ quan có nhiều đơn vị trực thuộc, hoặc nhà cung cấp dịch vụ email cho nhiều khách hàng. Mỗi domain có thể dùng Azure AD, Keycloak, AD FS hoặc IdP riêng mà không ảnh hưởng domain khác.

Người dùng tự dọn dẹp mailbox

Tính năng Clean Up Account cho phép người dùng tự xem dung lượng, sắp xếp email theo kích thước và xóa hàng loạt. Với các hệ thống có nhiều mailbox gần đầy quota, tính năng này giảm khá nhiều việc lặp lại cho bộ phận IT.

Thay vì liên tục tăng quota hoặc xử lý thủ công từng mailbox, người dùng có thể tự tìm các email nặng và dọn dẹp trực tiếp.

Một số cải tiến khác

• Redirect email: chuyển tiếp email nhưng vẫn giữ người gửi gốc, phù hợp với văn thư, thư ký hoặc bộ phận tiếp nhận email chung.
• Xem nhiều lịch song song: hỗ trợ xem lịch của nhiều người trong cùng một ngày để dễ tìm lịch họp trống.
• S/MIME kiểm tra đủ chuỗi chứng thư: cải thiện khả năng xác thực email ký số. Sau khi cập nhật, người dùng cần tải lại chứng thư S/MIME.
• LDS hỗ trợ HTTP/HTTPS proxy: phù hợp với môi trường không cho server truy cập Internet trực tiếp, ví dụ ngân hàng, cơ quan nhà nước hoặc hệ thống đặt trong vùng mạng kiểm soát chặt.
• Modern Web App: có trả lời nhanh trong luồng hội thoại, hướng dẫn cho người dùng mới và nhiều bản sửa lỗi dịch giao diện.

Các bản vá bảo mật cần chú ý

Zimbra 10.1.21 xử lý nhiều lỗi bảo mật ảnh hưởng trực tiếp đến tài khoản, dữ liệu email và giao diện webmail. Các lỗi đáng chú ý gồm:

• Chiếm tài khoản qua chức năng quên mật khẩu: attacker có thể đoán mã khôi phục và đặt lại mật khẩu mà không cần đăng nhập.
• Bypass MFA qua WebDAV: lỗi cho phép truy cập WebDAV trước khi hoàn tất xác thực hai lớp.
• XSS qua email, lời mời họp hoặc chia sẻ: email hoặc invitation được chế tác có thể khiến mã độc chạy trên giao diện webmail.
• OnlyOffice Doc server: có lỗi có thể dẫn đến thực thi mã từ xa. Nếu hệ thống có Doc server, cần cập nhật zimbra-onlyoffice-patch.
• Nền tảng hệ thống: cập nhật OpenJDK lên 17.0.19 và cập nhật module NGINX để vá các lỗi đã biết.

Email thường là một trong những bề mặt tấn công lớn nhất của tổ chức, nên các lỗi kiểu này không nên để tồn tại lâu trên hệ thống production.

Các lỗi hệ thống quản trị viên nên biết

Ngoài phần bảo mật, bản vá này còn sửa nhiều lỗi vận hành:

• Apple Mail trên iOS 18 gây hao tài nguyên IMAP: lỗi có thể khiến mailbox bị khóa lâu và làm server tốn bộ nhớ.
• File tạm Apache Tika làm đầy ổ /opt: bản vá bổ sung script zmcleantika, tự chạy lúc 1:00 sáng hằng ngày.
• Chống mail loop: không cho phép forward về chính địa chỉ hoặc alias của tài khoản.
• Đếm sai license MAPI: sửa lỗi cảnh báo vượt license không đúng.

Danh sách đầy đủ có thể xem tại release note chính thức của Zimbra.

Lưu ý về hệ điều hành

Zimbra sẽ ngừng hỗ trợ Ubuntu 18.04 từ bản phát hành kế tiếp. Ubuntu 24.04 đã được hỗ trợ chính thức từ bản 10.1.17.

Nếu hệ thống còn chạy Ubuntu 18.04, nên đưa việc nâng cấp hệ điều hành vào kế hoạch sớm thay vì chờ đến khi không còn đường cập nhật thuận lợi.

Trước khi cập nhật Zimbra 10.1.21

Bản vá này được xếp loại High Priority, nhưng vẫn là thay đổi lớn trên hệ thống mail production. Trước khi chạy cập nhật, cần lưu ý:

• Không có rollback tự động. Nếu cập nhật lỗi, bạn phải khôi phục từ backup hoặc snapshot.
• Nên có full backup toàn hệ thống. Với VM, nên tắt VM và tạo snapshot/full backup trước khi làm.
• Nên thử trên staging nếu hệ thống lớn hoặc có nhiều tùy biến.
• Bản vá có tính cumulative. Hệ thống đang ở bất kỳ bản 10.1.x nào có thể cập nhật thẳng lên 10.1.21.
• Chỉ áp dụng cho Zimbra 10.1.x. Các bản 8.8.15, 9.0, 10.0 cần upgrade lên 10.1 trước.
• Backup các cấu hình tùy biến. Cấu hình bên thứ ba, đặc biệt là SAML chỉnh thủ công, có thể bị ghi đè trong quá trình cập nhật.
• Luôn dùng screen. Tránh mất phiên SSH giữa chừng khi update.
• Lệnh ZCS chạy bằng user zimbra, lệnh yum/apt chạy bằng root.

Kiểm tra phiên bản hiện tại và dung lượng trống trước khi bắt đầu:

su - zimbra
zmcontrol -v
zmcontrol status
exit
df -h /opt

Mở screen:

screen -S zimbra-update

Với Ubuntu, nếu gặp lỗi GPG key khi cập nhật repository, chạy lệnh sau để lấy key mới:

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 5234D2B73B6996C7

Cách cập nhật được dùng trong bài

Zimbra có hai cách cập nhật:

1. Cập nhật bằng system package upgrade, tức yum update hoặc apt upgrade. 2. Cài từng gói Zimbra riêng lẻ.

Bài này dùng cách thứ nhất vì đơn giản và cập nhật đầy đủ các gói cần thiết. Nhược điểm là hệ điều hành cũng được cập nhật theo, có thể bao gồm cả kernel. Vì vậy cần thực hiện trong khung bảo trì và dự trù khả năng phải reboot server.

Lưu ý cho single server và multi server

Single server

Nếu tất cả dịch vụ Zimbra nằm trên một server:

• Thực hiện bước 1, 2, 3 và 6 trên cùng server.
• Bước 2, cài zimbra-core-components, áp dụng vì server này cũng là mailstore.
• Bước 4 và 5 chỉ cần quan tâm nếu LDS hoặc OnlyOffice nằm trên node riêng. Nếu các gói này nằm cùng server, yum update hoặc apt upgrade thường đã cập nhật chúng.
• Dịch vụ email sẽ gián đoạn trong lúc cập nhật và restart. Nên thông báo trước cho người dùng.

Multi server

Với mô hình nhiều server, cập nhật tuần tự theo thứ tự khuyến nghị:

LDAP server → LDS server → MTA server → Proxy server → Mailbox server

Một số điểm cần giữ đúng:

• Mỗi server đều chạy bước 1 và bước 3, sau đó restart Zimbra trên server đó.
• Bước 2 chỉ chạy trên mailstore server.
• Bước 4 chỉ chạy trên LDS node.
• Bước 5 chỉ chạy trên OnlyOffice node.
• Zimlet chỉ cài trên mailstore server.
• Với LDAP multi-master hoặc LDAP replica, cập nhật từng LDAP server, kiểm tra replication ổn rồi mới sang server tiếp theo.
• Với nhiều MTA/Proxy sau load balancer, cập nhật từng node một. Có thể tạm gỡ node đang cập nhật khỏi load balancer.
• Với nhiều mailbox server, cập nhật lần lượt. Khi restart, chỉ người dùng có mailbox trên server đó bị ảnh hưởng.
• Sau mỗi server, chạy zmcontrol status bằng user zimbra. Chỉ tiếp tục khi tất cả dịch vụ đã Running.
• Nên hoàn tất toàn bộ cụm trong cùng một đợt bảo trì, không để hệ thống chạy lẫn nhiều phiên bản quá lâu.

Lưu lại cấu hình tùy biến trên MTA server

Nếu hệ thống có chỉnh Postfix trực tiếp, các thay đổi có thể bị ghi đè sau khi cập nhật. Nếu không có tùy biến Postfix, có thể bỏ qua phần này.

Trước khi cập nhật, lưu cấu hình hiện tại trên MTA server. Với single server, chạy ngay trên server đó:

su - zimbra
cp -axv ~/conf/zmconfigd.cf /tmp/zmconfigd.cf-prepatch
cp -axv ~/common/conf/transport /tmp/transport-prepatch
cp -axv ~/common/conf/main.cf /tmp/main.cf-prepatch
postconf -n | sort > /tmp/postconf-prepatch.txt
exit

Sau khi cập nhật xong, lấy lại cấu hình hiện tại:

su - zimbra
cp -axv ~/conf/zmconfigd.cf /tmp/zmconfigd.cf-postpatch
cp -axv ~/common/conf/transport /tmp/transport-postpatch
cp -axv ~/common/conf/main.cf /tmp/main.cf-postpatch
postconf -n | sort > /tmp/postconf-postpatch.txt

So sánh trước và sau:

diff -u /tmp/postconf-prepatch.txt /tmp/postconf-postpatch.txt
diff -u /tmp/main.cf-prepatch /tmp/main.cf-postpatch

Nếu thấy các tùy biến bị mất, cần áp dụng lại rồi restart MTA:

zmmtactl restart

Lưu ý: thư mục /tmp có thể bị xóa sau reboot. Nếu cần reboot trước khi so sánh, hãy copy các file prepatch sang nơi khác trước.

Cập nhật trên Redhat / Rocky Linux / Oracle Linux

Trên RHEL/Rocky 8 và 9, yum thực chất là dnf, dùng lệnh nào cũng được.

Bước 1: xóa cache và kiểm tra update

Chạy bằng root:

yum clean metadata
yum check-update

Bước 2: cài zimbra-core-components trên mailstore

Chỉ chạy trên mailstore server. Có thể bỏ qua nếu server đã từng cập nhật lên 10.1.3 trở về sau.

yum install zimbra-core-components

Bước 3: cập nhật toàn bộ gói

yum update

Bước 4: cập nhật LDS nếu có LDS node

Chỉ chạy trên LDS node nếu hệ thống có node LDS riêng:

yum install zimbra-lds-patch

su - zimbra
zmlicensectl --service restart
exit

Bước 5: cập nhật OnlyOffice nếu có Doc server

Nếu hệ thống có OnlyOffice/Doc server, cần cập nhật gói sau:

yum install zimbra-onlyoffice-patch

Bước 6: restart Zimbra

su - zimbra
zmcontrol restart
exit

Đến đây quá trình cập nhật bản vá đã hoàn tất. Nếu cần cài lại hoặc bổ sung các Zimlet tùy chọn trên mailstore server, dùng các lệnh sau:

yum install zimbra-zimlet-slack
yum install zimbra-zimlet-zoom
yum install zimbra-zimlet-dropbox
yum install zimbra-zimlet-google-drive
yum install zimbra-zimlet-onedrive
yum install zimbra-zimlet-jitsi
yum install zimbra-zimlet-video-call-preferences
yum install zimbra-zimlet-nextcloud
yum install zimbra-zimlet-voice-message
yum install zimbra-zimlet-sideloader
yum install zimbra-zimlet-user-sessions-management
yum install zimbra-zimlet-org-chart
yum install zimbra-zimlet-privacy-protector
yum install zimbra-zimlet-custom-fonts
yum install zimbra-zimlet-download-email
yum install zimbra-zimlet-import-export-ics
yum install zimbra-zimlet-attachment-missing-alert
yum install zimbra-zimlet-email-reminder
yum install zimbra-zimlet-preventive-ooo
yum install zimbra-zimlet-tlp
yum install zimbra-zimlet-disable-screen-capture
yum install zimbra-zimlet-mail-translate
yum install zimbra-zimlet-voice-composer

su - zimbra
zmmailboxdctl restart
exit

Mail Recall trên Redhat/Rocky/Oracle Linux

Mail Recall là tính năng mới trong 10.1.21. Tính năng này gồm 3 gói:

• zimbra-extension-mail-recall
• zimbra-zimlet-mail-recall
• zimbra-zimlet-admin-mail-recall

Danh sách Zimlet tùy chọn ở trên chưa có các gói này. Lệnh yum update chỉ cập nhật những gói đã cài sẵn. Sau khi cập nhật, kiểm tra trên mailstore server:

rpm -qa | grep mail-recall

Nếu chưa có đủ 3 gói, cài đặt và restart mailbox:

yum install zimbra-extension-mail-recall zimbra-zimlet-mail-recall zimbra-zimlet-admin-mail-recall
su - zimbra
zmmailboxdctl restart

Thời gian cho phép thu hồi email cần cấu hình thêm theo phần Mail Recall trong Zimbra Admin Guide.

Cập nhật trên Ubuntu

Bước 1: cập nhật danh sách gói

Chạy bằng root:

apt-get update

Nếu gặp lỗi chữ ký NO_PUBKEY hoặc EXPKEYSIG, lấy lại GPG key như phần lưu ý bên trên rồi chạy lại apt-get update.

Bước 2: cài zimbra-core-components trên mailstore

Chỉ chạy trên mailstore server. Có thể bỏ qua nếu server đã từng cập nhật lên 10.1.3 trở về sau.

apt-get install zimbra-core-components

Bước 3: cập nhật toàn bộ gói

apt upgrade

Bước 4: cập nhật LDS nếu có LDS node

apt-get install zimbra-lds-patch

su - zimbra
zmlicensectl --service restart
exit

Bước 5: cập nhật OnlyOffice nếu có Doc server

apt-get install zimbra-onlyoffice-patch

Bước 6: restart Zimbra

su - zimbra
zmcontrol restart
exit

Nếu cần cài lại hoặc bổ sung các Zimlet tùy chọn trên mailstore server:

apt-get install zimbra-zimlet-slack
apt-get install zimbra-zimlet-zoom
apt-get install zimbra-zimlet-dropbox
apt-get install zimbra-zimlet-google-drive
apt-get install zimbra-zimlet-onedrive
apt-get install zimbra-zimlet-jitsi
apt-get install zimbra-zimlet-video-call-preferences
apt-get install zimbra-zimlet-nextcloud
apt-get install zimbra-zimlet-voice-message
apt-get install zimbra-zimlet-sideloader
apt-get install zimbra-zimlet-user-sessions-management
apt-get install zimbra-zimlet-org-chart
apt-get install zimbra-zimlet-privacy-protector
apt-get install zimbra-zimlet-custom-fonts
apt-get install zimbra-zimlet-download-email
apt-get install zimbra-zimlet-import-export-ics
apt-get install zimbra-zimlet-attachment-missing-alert
apt-get install zimbra-zimlet-email-reminder
apt-get install zimbra-zimlet-preventive-ooo
apt-get install zimbra-zimlet-tlp
apt-get install zimbra-zimlet-disable-screen-capture
apt-get install zimbra-zimlet-mail-translate
apt-get install zimbra-zimlet-voice-composer
su - zimbra
zmmailboxdctl restart
exit

Mail Recall trên Ubuntu

Sau khi cập nhật, kiểm tra các gói Mail Recall trên mailstore server:

dpkg -l | grep mail-recall

Nếu chưa có đủ 3 gói, cài đặt và restart mailbox:

apt-get install zimbra-extension-mail-recall zimbra-zimlet-mail-recall zimbra-zimlet-admin-mail-recall
su - zimbra
zmmailboxdctl restart

Kiểm tra sau khi cập nhật

Vì system package upgrade có thể cập nhật cả kernel hoặc thư viện hệ thống, cần kiểm tra server có yêu cầu reboot không.

# Redhat / Rocky Linux (cần gói yum-utils hoặc dnf-utils)
needs-restarting -r

# Ubuntu
cat /var/run/reboot-required

Nếu cần reboot, với multi server nên reboot lần lượt từng server theo thứ tự mailbox, proxy/mta, ldap. Không reboot đồng loạt toàn bộ cụm nếu không thật sự cần thiết.

Kiểm tra phiên bản và trạng thái dịch vụ bằng user zimbra:

su - zimbra
zmcontrol -v
zmcontrol status

Kết quả zmcontrol -v cần hiển thị phiên bản 10.1.21.

Sau đó kiểm tra thêm:

• Đăng nhập Webmail Modern và Classic.
• Đăng nhập Admin Console.
• Gửi nhận thử email nội bộ và email ra ngoài.
• Kiểm tra hàng đợi mail trên MTA server bằng /opt/zimbra/libexec/zmqstat.
• Kiểm tra trạng thái license, đặc biệt nếu có LDS node riêng.
• Nếu dùng SAML/SSO, kiểm tra lại đăng nhập SSO và khôi phục cấu hình đã backup nếu bị ghi đè.
• Thông báo người dùng S/MIME tải lại chứng thư số.
• Theo dõi /opt/zimbra/log/mailbox.log trong vài giờ đầu.

Khi hệ thống chạy ổn định vài ngày, có thể xóa snapshot hoặc bản backup tạm theo chính sách backup nội bộ.

Tham khảo

• What’s New in Zimbra 10.1.21 (Daffodil) – Zimbra Blog
• Zimbra Releases/10.1.21 – Release Notes
• Zimbra Releases/10.1.0/patch installation

Đỗ Trung Quân

CÔNG TÁC TẠI AZDIGI

Với kinh nghiệm thực chiến từ việc tiếp xúc hàng ngày với vô vàn vấn đề về Website, Hosting, VPS, Server tại Phòng Kỹ thuật AZDIGI, mình luôn ấp ủ niềm đam mê chia sẻ kiến thức.

Mình xây dựng các blog không chỉ để tự trau dồi kỹ năng mà còn để cung cấp những tài liệu, hướng dẫn hữu ích nhất đến cộng đồng. Rất mong nhận được sự quan tâm của các bạn!

Hỗ Trợ Hosting / VPS / WordPress Hỗ Trợ Xử Lý Mã Độc

Đăng ký tư vấn miễn phí

Để lại thông tin, mình sẽ phản hồi ngay.

Họ và tên

Số điện thoại

TƯ VẤN MIỄN PHÍ Chọn dịch vụ Xử lý mã độc WordPress Thiết kế website Quản trị VPS/Server Dịch vụ WordPress (Quản trị/Fix lỗi/Nâng cấp) Tư vấn & Triển khain (Server - Hosting - Email)

GỬI YÊU CẦU TƯ VẤN