O Zimbra é o groupware Ajax que quis ser o Exchange do Linux. Nasceu LiquidSys em 2003, virou Zimbra Inc. em 26 de julho de 2005, e o nome veio da música I Zimbra dos Talking Heads. Em setembro de 2007 o Yahoo comprou por US$ 350 milhões. Depois: VMware, Telligent, Synacor. Em 31 de agosto de 2026 a série estável é a 10.1.21 (Daffodil). O servidor ainda é Postfix + Java + OpenLDAP — o mesmo combo de 2005, com outros donos.
LiquidSys, Onebox e o Web 2.0
Satish Dharmaraj (CEO), Ross Dargahi (engenharia) e Roland Schemers (tecnologia) tinham feito unified messaging na Onebox, em 1999. Em 2003 fundaram a LiquidSys em San Mateo. A tese, no podcast de 2007 com o Read/WriteWeb: as pessoas passam mais tempo no e-mail do que na busca ou no browser. Gmail tinha um ano. O recado era Ajax no limite — tooltip, arrastar, menu de botão direito — num servidor que o admin instalava no Linux, não num datacenter do Google.
Em 26 de julho de 2005 a empresa passou a se chamar Zimbra. Scott Dietzen, depois presidente e CTO, explicou no blog: o nome sai de I Zimbra, Talking Heads, 1979. Em 12 de setembro o LWN noticiou o beta open source. Em 4 de outubro, na Web 2.0 Conference, o press release oficial: Zimbra Collaboration Suite em beta, GA prevista para novembro. Funding: Accel, Benchmark, Redpoint e Eric Hahn (ex-CTO da Netscape), da ordem de US$ 16 milhões nas séries A e B.
3.0 GA e o que o servidor é
A disponibilidade geral veio em 7–8 de fevereiro de 2006, como ZCS 3.0: calendário de grupo, Zimlets (Wikipedia, busca, Amazon), REST, import de PST, migração de Exchange. Plataformas: Fedora, RHEL 4, SUSE, Debian, Mac OS X. Em agosto de 2006 a 4.0 trouxe Zimbra Documents (texto e planilha no browser, ALE — Ajax Linking and Embedding).
O servidor nunca foi “mais um webmail”. É um appliance de colaboração: MTA Postfix, diretório OpenLDAP, banco (MySQL, depois MariaDB na 8.5), busca Lucene, Jetty (a partir da 5; antes Tomcat), nginx na frente (desde a 5.0), ClamAV + SpamAssassin + Amavis, OpenDKIM desde a 8. SOAP na API, IMAP e POP3 para o cliente magro. CalDAV, CardDAV, S/MIME. O cliente gordo é o web Ajax; o Outlook e o ActiveSync ficaram, por anos, no lado pago.
Duas edições desde o começo: Open Source Edition (grátis, MPL/ZPL no início) e Network Edition (EULA, conector MAPI, sync nativo). O preço de 2005: US$ 28 por mailbox/ano no Network.
Yahoo, US$ 350 milhões
Em 17 de setembro de 2007 o Yahoo comprou a Zimbra. Dois anos do lançamento na Web 2.0 até o cheque. A licença do fonte virou Yahoo Public License. O código sumiu do SourceForge; o download continuou no site. A ideia do Yahoo era groupware para o negócio de hosting. O Google comeu o consumer. Em 2010 o Yahoo “se livrou de ativos fora do núcleo”.
VMware, Telligent, Synacor
Em 12 de janeiro de 2010 a VMware comprou a Zimbra do Yahoo. Ashlee Vance no Times: um cutucão no Microsoft Exchange. A 7.0 largou o Mac OS X Server. Kevin Henrikson, depois, descreveu as duas integrações como desastre: no Yahoo a startup ignorava o comprador; na VMware o vSphere imprimia dinheiro e o e-mail de US$ 50 milhões era irrelevante.
Em julho de 2013 a Telligent Systems comprou da VMware e em setembro passou a se chamar Zimbra, Inc. de novo. Em 18 de agosto de 2015 a Synacor (Buffalo, NY) anunciou a compra. É o dono até hoje. Em 2019 o produto deixou o “Suite” e virou só Zimbra Collaboration.
O Desktop — cliente nativo grátis — parou na VMware em 2013, voltou em 2014, morreu de vez por volta de 2019. A 8.5 (2014) pôs modo offline HTML5 no web client no lugar.
Licença, FOSS e o binário que sumiu
Até a 8.5 o fonte ia de MPL/ZPL/YPL. A 8.5 abriu o backend em GPL-2 e o frontend em CPAL-1. A FSF trata a ZPL como livre. O FAQ atual da Synacor é outro recado: o produto “continua open source”, mas os binários oficiais deixaram de ser grátis para baixar e usar. A Network Edition pede chave; a 10.1 exige chave nova, inclusive trial.
A comunidade monta FOSS a partir do github.com/Zimbra/zm-build. Há embargo: o wiki lista semanas entre o patch Network e o fonte FOSS. Builds de terceiros (Maldua e outros) preenchem o buraco. Quem rodava o tarball grátis de 2010 descobriu, na década de 2020, que “open source” e “ISO oficial sem login” não são a mesma coisa.
Joule, Kepler, Daffodil
Os codinomes científicos/florais:
- 8.8.15 Joule — GA 22 de julho de 2019, o LTS que o Brasil instalou à mancheia. Guidance até 31/12/2024.
- 9 Kepler — GA 7 de abril de 2020. EOS estendido até 30/06/2025.
- 10 Daffodil — GA 8 de março de 2023. A 10.1 (16 de julho de 2024) mudou o licenciamento. General Support da 10.1.x até 31/12/2027.
A 10 tirou os módulos NG da Zextras (backup, HSM, ActiveSync, admin delegado) e meteu a função no core. Upgrade de 8.8.15/9 pede ferramenta de migração NG. Em 31 de agosto de 2026 o patch é o 10.1.21.
Neste blog, o howto de 2017 ainda aponta a 8.7: Instalação do Zimbra 8.7.1 no Ubuntu e o recado da 8.7.7. A identidade daqueles posts ficou; a série de 2026 é a 10.1.
O preço do HTML, de novo
Groupware com webmail é superfície de XSS e de RCE no parser. Em 2024 o CVE-2024-45519 (RCE no serviço postjournal, que não vem ligado por default) virou caso. Mas o episódio que interessa ao leitor brasileiro é outro.
CVE-2025-27915 é um stored XSS no Classic Web Client: o cliente não sanitizava HTML dentro de arquivos .ics de calendário. Abrir a mensagem bastava — o JavaScript disparava por um evento ontoggle dentro de uma tag <details> e rodava na sessão da vítima, com poder de criar filtro que reencaminha a caixa inteira para o atacante. A Zimbra corrigiu em 27 de janeiro de 2025, nas versões 9.0.0 Patch 44, 10.0.13 e 10.1.5.
Oito meses depois, em 30 de setembro de 2025, a StrikeReady Labs publicou que a falha havia sido usada como zero-day numa campanha dirigida contra as Forças Armadas do Brasil, com anexos .ics enviados por um remetente que se passava pelo Escritório de Protocolo da Marinha da Líbia. A Zimbra respondeu que não encontrou evidência de exploração contra entidades brasileiras — a divergência segue de pé. O que não é divergente: a CISA colocou o CVE no catálogo KEV e deu prazo às agências federais americanas para corrigir. Em julho de 2026 veio mais um stored XSS na mesma classe, tapado na 10.1.19.
O recado é o mesmo do Roundcube: patch atrasado em webmail é inbox aberto. E repare no intervalo — a correção existia desde janeiro; quem levou o ataque estava rodando versão sem patch. 8.8.15 e 9 fora de suporte não são nostalgia, são buraco.
No Linux, o que resta
O installer ainda é o script em /opt/zimbra, usuário zimbra, zmcontrol. Ubuntu 22.04/24.04 e RHEL/Rocky 8/9 na tabela oficial da 10.1. A Open Source Edition se constrói; a Network baixa do portal com chave. Não misture FOSS de 2017 com patch Network de 2026.
su - zimbra -c 'zmcontrol status'
su - zimbra -c 'zmcontrol -v'
O MTA por baixo continua Postfix — o chão do ISPConfig e do curso de e-mail. Zimbra é o Exchange-like em cima; não substitui o Dovecot+Roundcube de quem quer só IMAP magro.
Linha do tempo
- 1999 — Satish Dharmaraj, Ross Dargahi e Roland Schemers trabalham com unified messaging na Onebox.
- 2003 — nasce a LiquidSys, em San Mateo (Califórnia).
- 26/07/2005 — a empresa passa a se chamar Zimbra, nome tirado de I Zimbra, dos Talking Heads.
- 04/10/2005 — o Zimbra Collaboration Suite é apresentado em beta na Web 2.0 Conference.
- fev/2006 — GA da 3.0: calendário de grupo, Zimlets, REST, migração de Exchange.
- ago/2006 — a 4.0 traz o Zimbra Documents, editor de texto e planilha no browser.
- 17/09/2007 — o Yahoo compra a Zimbra por US$ 350 milhões; a licença vira Yahoo Public License.
- 12/01/2010 — a VMware compra a Zimbra do Yahoo, mirando o Exchange.
- jul/2013 — a Telligent Systems compra da VMware; em setembro volta a se chamar Zimbra, Inc.
- 2014 — a 8.5 abre o backend em GPL-2 e o frontend em CPAL-1, e troca o MySQL por MariaDB.
- 18/08/2015 — a Synacor anuncia a compra. É a dona até hoje.
- 22/07/2019 — GA da 8.8.15 Joule, o LTS que o Brasil instalou à mancheia.
- 07/04/2020 — GA da 9 Kepler.
- 08/03/2023 — GA da 10 Daffodil, que absorve os módulos NG da Zextras no core.
- 16/07/2024 — a 10.1 muda o licenciamento: binário oficial passa a exigir chave, inclusive no trial.
- 27/01/2025 — sai a correção do CVE-2025-27915 nas versões 9.0.0 P44, 10.0.13 e 10.1.5.
- 30/09/2025 — a StrikeReady Labs relata o uso da falha como zero-day contra as Forças Armadas do Brasil.
- 2026 — a série corrente é a 10.1 (patch 10.1.21); General Support da 10.1.x até 31/12/2027.
O que ficou
Três engenheiros da Onebox, um nome de Talking Heads, um cheque do Yahoo, quatro donos. O Ajax de 2005 ainda está no browser. O binário grátis não. Quem quer o groupware completo no Linux em 2026 fala Daffodil 10.1.21 e lê o release notes — não o tarball da 8.7 que este blog ensinou em 2017.
Site: zimbra.com · ciclo: product lifecycle · fonte: github.com/Zimbra/zm-build · 10.1.21: releases/tag/10.1.21.