Zimbra es el groupware Ajax que quiso ser el Exchange de Linux. Nació como LiquidSys en 2003, se convirtió en Zimbra Inc. el 26 de julio de 2005, y el nombre vino de la canción I Zimbra dos Talking Heads. En septiembre de 2007 Yahoo compró por US$ 350 millones. Después: VMware, Telligent, Synacor. En 31 de agosto de 2026 la serie estable es la 10.1.21 (Daffodil). El servidor sigue siendo Postfix + Java + OpenLDAP — la misma combinación de 2005, con otros dueños.
LiquidSys, Onebox y el Web 2.0
Satish Dharmaraj (CEO), Ross Dargahi (ingeniería) y Roland Schemers (tecnología) habían hecho unified messaging en Onebox, en 1999. En 2003 fundaron LiquidSys en San Mateo. La tesis, en el podcast de 2007 con Read/WriteWeb: la gente pasa más tiempo en el correo electrónico que en la búsqueda o en el navegador. Gmail tenía un año. El mensaje era Ajax al límite — tooltip, arrastrar, menú de botón derecho — en un servidor que el admin instalaba en Linux, no en un datacenter de Google.
En 26 de julio de 2005 la empresa pasó a llamarse Zimbra. Scott Dietzen, después presidente y CTO, explicó en el blog: el nombre sale de I Zimbra, Talking Heads, 1979. En 12 de septiembre LWN informó sobre la beta open source. En 4 de octubre, en la Web 2.0 Conference, el comunicado de prensa oficial: Zimbra Collaboration Suite en beta, GA prevista para noviembre. Financiación: Accel, Benchmark, Redpoint y Eric Hahn (ex-CTO de Netscape), del orden de $ 16 millones de dólares en las series A y B.
3.0 GA y lo que es el servidor
La disponibilidad general llegó en 7–8 de febrero de 2006, como ZCS 3.0: calendario de grupo, Zimlets (Wikipedia, búsqueda, Amazon), REST, importación de PST, migración desde Exchange. Plataformas: Fedora, RHEL 4, SUSE, Debian, Mac OS X. En agosto de 2006 la 4.0 trajo Zimbra Documents (texto y hoja de cálculo en el navegador, ALE — Ajax Linking and Embedding).
El servidor nunca fue “un webmail más”. Es un appliance de colaboración: MTA Postfix, directorio OpenLDAP, base de datos (MySQL, después MariaDB en la 8.5), búsqueda Lucene, Jetty (a partir de la 5; antes Tomcat), nginx delante (desde la 5.0), ClamAV + SpamAssassin + Amavis, OpenDKIM desde la 8. SOAP en la API, IMAP y POP3 para el cliente ligero. CalDAV, CardDAV, S/MIME. El cliente pesado es el web Ajax; Outlook y ActiveSync quedaron, durante años, en la parte de pago.
Dos ediciones desde el principio: Open Source Edition (gratis, MPL/ZPL al principio) y Network Edition (EULA, conector MAPI, sincronización nativa). El precio de 2005: US$ 28 por mailbox/año en Network.
Yahoo, US$ 350 millones
En 17 de septiembre de 2007 Yahoo compró Zimbra. Dos años desde el lanzamiento en la Web 2.0 hasta el cheque. La licencia del código fuente pasó a ser Yahoo Public License. El código desapareció de SourceForge; la descarga continuó en el sitio. La idea de Yahoo era el groupware para el negocio de hosting. Google se comió el consumer. En 2010 Yahoo “se deshizo de activos fuera del núcleo”.
VMware, Telligent, Synacor
El 12 de enero de 2010 VMware compró Zimbra a Yahoo. Ashlee Vance en The Times: un pellizco a Microsoft Exchange. La 7.0 abandonó Mac OS X Server. Kevin Henrikson, más tarde, describió ambas integraciones como un desastre: en Yahoo la startup ignoraba al comprador; en VMware vSphere imprimía dinero y el correo de $ 50 millones de USD era irrelevante.
En julio de 2013 Telligent Systems adquirió a VMware y en septiembre pasó a llamarse Zimbra, Inc. de nuevo. En 18 de agosto de 2015 Synacor (Buffalo, NY) anunció la compra. Es el dueño hasta hoy. En 2019 el producto dejó el “Suite” y se quedó solo en Zimbra Collaboration.
El Desktop — cliente nativo gratis — se quedó en VMware en 2013, volvió en 2014, murió definitivamente alrededor de 2019. La 8.5 (2014) puso modo offline HTML5 en el cliente web en su lugar.
Licencia, FOSS y el binario que desapareció
Hasta la 8.5 el código iba con MPL/ZPL/YPL. La 8.5 abrió el backend en GPL-2 y el frontend en CPAL-1. La FSF considera la ZPL como libre. El FAQ actual de Synacor es otro cantar: el producto “sigue siendo open source”, pero los binarios oficiales han dejado de ser gratis para descargar y usar. Network Edition pide clave; la 10.1 exige clave nueva, incluso trial.
La comunidad monta FOSS a partir de github.com/Zimbra/zm-build. Hay un escollo: la wiki lista semanas entre el parche Network y el código fuente FOSS. Las compilaciones de terceros (Maldua y otros) cubren ese hueco. Quien ejecutaba el tarball gratuito de 2010 descubrió, en la década de 2020, que “open source” y “ISO oficial sin inicio de sesión” no son lo mismo.
Joule, Kepler, Daffodil
Los nombres clave científicos/florales:
- 8.8.15 Joule — GA 22 de julio de 2019, el LTS que Brasil instaló a mansalva. Guidance hasta 31/12/2024.
- 9 Kepler — GA 7 de abril de 2020. EOS extendido hasta 30/06/2025.
- 10 Daffodil — GA 8 de marzo de 2023. La 10.1 (16 de julio de 2024) cambió el licenciamiento. General Support de la 10.1.x hasta 31/12/2027.
La 10 quitó los módulos NG de Zextras (backup, HSM, ActiveSync, administración delegada) y metió la función en el core. La actualización de 8.8.15/9 pide herramienta de migración NG. En 31 de agosto de 2026 el parche es el 10.1.21.
En este blog, el howto de 2017 todavía apunta a la 8.7: Instalación de Zimbra 8.7.1 en Ubuntu y el recado de la 8.7.7. La identidad de esas publicaciones quedó; la serie de 2026 es la 10.1.
El precio del HTML, de nuevo
Groupware con webmail es superficie de XSS y de RCE en el parser. En 2024 el CVE-2024-45519 (RCE en el servicio postjournal, que no viene activado por defecto) dio que hablar. Pero el episodio que interesa al lector brasileño es otro.
CVE-2025-27915 es un XSS almacenado en Classic Web Client: el cliente no sanitizaba el HTML dentro de los archivos .ics de calendario. Bastaba con abrir el mensaje — el JavaScript se disparaba por un evento ontoggle dentro de una etiqueta <details> y se ejecutaba en la sesión de la víctima, con capacidad para crear un filtro que reenvía la bandeja completa al atacante. Zimbra lo corrigió el 27 de enero de 2025, en las versiones 9.0.0 Patch 44, 10.0.13 y 10.1.5.
Ocho meses después, el 30 de septiembre de 2025, StrikeReady Labs publicó que la vulnerabilidad había sido utilizada como zero-day en una campaña dirigida contra las Fuerzas Armadas de Brasil, con archivos adjuntos .ics enviados por un remitente que se hacía pasar por la Oficina de Protocolo de la Marina de Libia. Zimbra respondió que no encontró evidencia de explotación contra entidades brasileñas — la divergencia sigue en pie. Lo que no es divergente: la CISA incluyó el CVE en el catálogo KEV y dio plazo a las agencias federales estadounidenses para corregirlo. En julio de 2026 llegó otro más XSS almacenado de la misma clase, oculto en la 10.1.19.
El mensaje es el mismo del Roundcube: un parche atrasado en webmail es una bandeja de entrada abierta. Y fíjese en el intervalo: la corrección existía desde enero; quien sufrió el ataque estaba ejecutando una versión sin parche. 8.8.15 y 9 sin soporte no son nostalgia, son un agujero.
En Linux, lo que queda
El instalador sigue siendo el script en /opt/zimbra, usuario zimbra, zmcontrol. Ubuntu 22.04/24.04 y RHEL/Rocky 8/9 en la tabla oficial de 10.1. La Open Source Edition se compila; la Network se descarga del portal con clave. No mezcle FOSS de 2017 con parche Network de 2026.
su - zimbra -c 'zmcontrol status'
su - zimbra -c 'zmcontrol -v'
El MTA de debajo sigue siendo Postfix: el suelo del ISPConfig y del curso de correo. Zimbra es el Exchange-like de arriba; no sustituye al Dovecot+Roundcube de quien quiere solo IMAP ligero.
Línea de tiempo
- 1999 — Satish Dharmaraj, Ross Dargahi y Roland Schemers trabajan con mensajería unificada en Onebox.
- 2003 — nace LiquidSys, en San Mateo (California).
- 26/07/2005 — la empresa pasa a llamarse Zimbra, nombre sacado de I Zimbra, de Talking Heads.
- 04/10/2005 — Zimbra Collaboration Suite se presenta en beta en la Web 2.0 Conference.
- feb/2006 — GA de 3.0: calendario de grupo, Zimlets, REST, migración de Exchange.
- ago/2006 — 4.0 trae Zimbra Documents, editor de texto y hoja de cálculo en el navegador.
- 17/09/2007 — Yahoo compra Zimbra por US$ 350 millones; la licencia pasa a llamarse Yahoo Public License.
- 12/01/2010 — VMware compra Zimbra a Yahoo, con el objetivo de competir con Exchange.
- jul/2013 — Telligent Systems compra a VMware; en septiembre vuelve a llamarse Zimbra, Inc.
- 2014 — 8.5 abre el backend bajo GPL-2 y el frontend bajo CPAL-1, y sustituye MySQL por MariaDB.
- 18/08/2015 — Synacor anuncia la compra. Es la propietaria hasta hoy.
- 22/07/2019 — GA de 8.8.15 Joule, el LTS que Brasil instaló de forma masiva.
- 07/04/2020 — GA de 9 Kepler.
- 08/03/2023 — GA de 10 Daffodil, que absorbe los módulos NG de Zextras en el núcleo.
- 16/07/2024 — 10.1 cambia el licenciamiento: el binario oficial pasa a exigir clave, incluso en el trial.
- 27/01/2025 — sale la corrección del CVE-2025-27915 en las versiones 9.0.0 P44, 10.0.13 y 10.1.5.
- 30/09/2025 — StrikeReady Labs reporta el uso de la falla como zero-day contra las Fuerzas Armadas de Brasil.
- 2026 — la serie en curso es la 10.1 (patch 10.1.21); General Support de la 10.1.x hasta 31/12/2027.
Cierre
Tres ingenieros de Onebox, un nombre de Talking Heads, un cheque de Yahoo, cuatro dueños. El Ajax de 2005 sigue en el navegador. El binario gratis ya no. Quien quiera el groupware completo en Linux en 2026 habla con Daffodil 10.1.21 y lee las release notes — no el tarball de 8.7 que este blog enseñó en 2017.
Sitio: zimbra.com · ciclo: product lifecycle · fuente: github.com/Zimbra/zm-build · 10.1.21: releases/tag/10.1.21.