Qué es Zimbra, para qué sirve y si te conviene en 2026

Si has llegado hasta aquí buscando información sobre Zimbra, lo más probable es que estés en una de estas dos situaciones: tu organización ya lo usa y alguien ha preguntado si sigue siendo buena idea, o estás evaluando servidores de correo y el nombre te ha aparecido asociado a la palabra "gratis".

En ambos casos conviene empezar por algo que casi ninguna página que hable de Zimbra menciona: la versión gratuita que hizo famoso al producto ya no se puede descargar, y el software arrastra desde 2025 dos vulnerabilidades con explotación activa confirmada por la agencia de ciberseguridad estadounidense.

Esa omisión tiene una explicación sencilla. La mayoría de los resultados que verás al buscar "Zimbra" pertenecen a empresas que revenden licencias de Zimbra, y su trabajo no es evaluar el producto sino colocarlo.

Qué es Zimbra exactamente

Zimbra Collaboration Suite (ZCS) es un groupware: un paquete de software que integra servidor de correo electrónico, calendario compartido, agenda de contactos, gestión de tareas y almacenamiento de archivos bajo una misma interfaz web y una misma consola de administración.

Su rasgo distintivo frente a Microsoft 365 o Google Workspace es el modelo de despliegue. Zimbra está pensado para instalarse en tu propia infraestructura, ya sea un servidor físico en la oficina o una máquina virtual en un proveedor cloud que tú controlas. Los buzones, los adjuntos y los metadatos viven donde tú decides, no en el centro de datos de un tercero.

Técnicamente es un ensamblaje de componentes estándar de código abierto: Postfix para el transporte de correo, OpenLDAP para el directorio de usuarios, Jetty como servidor de aplicaciones y MariaDB para los metadatos. Habla los protocolos de siempre (IMAP, POP3, SMTP, CalDAV, CardDAV), lo que permite conectar clientes como Outlook, Thunderbird o la app de correo del móvil sin adaptaciones raras.

Esa combinación explica su nicho real: administraciones públicas, universidades, hospitales y empresas medianas con requisitos de soberanía del dato. Si buscas "zimbra" en Google verás decenas de resultados de universidades y ayuntamientos españoles. No es coincidencia.

De Yahoo! a Synacor: el historial que explica el presente

Zimbra nació en 2003 en Silicon Valley de la mano de Satish Dharmaraj, Roland Schemers y Ross Dargahi, y salió al mercado comercialmente en 2005. Lo que vino después importa más de lo que parece, porque un producto que cambia de dueño cuatro veces en dieciocho años acumula decisiones estratégicas contradictorias.

Nota: cifras de operación según los comunicados públicos de las compañías compradoras en cada fecha.

Fíjate en el detalle económico: 350 millones en 2007, 24,5 millones en 2015. El producto perdió alrededor del 93% de su valor de transacción en ocho años. Ese dato dice más sobre la trayectoria de Zimbra que cualquier lista de funcionalidades.

Muchos artículos sobre Zimbra siguen presentando como argumento de venta que en 2009 alcanzó 40 millones de buzones "superando las cuentas gratuitas de Gmail". Gmail superó los 3.000 millones de usuarios según la cifra que Google publicó en enero de 2026. Esa comparación describe el mercado de hace diecisiete años y hoy induce a error.

El punto que lo cambia todo: la edición libre ya no existe

Durante años, la propuesta de Zimbra fue sencilla: Zimbra Open Source Edition (OSE), descargable gratis, mantenida por la comunidad, con la opción de pagar por Network Edition si querías soporte, backup en caliente y el conector nativo de Outlook.

Ese modelo terminó. Synacor anunció que la 8.8.15 sería la última edición de código abierto libremente descargable, y adelantó su fin de soporte al 31 de diciembre de 2023: desde esa fecha no recibe parches de seguridad ni actualizaciones. A partir de Zimbra 9, los binarios compilados dejaron de publicarse para la comunidad y solo se entregan a clientes de Network Edition.

Traducido a decisiones de negocio:

• Si tu organización corre Zimbra 8.8.15, llevas más de dos años y medio sin recibir un solo parche de seguridad.

• Si quieres estar en la rama actual (la 10.1.20, publicada el 20 de julio de 2026), necesitas licencia comercial por buzón.

• El argumento "Zimbra es gratis" ya solo aplica al código fuente, no a un producto que puedas instalar y operar.

Toda página que hoy siga describiendo Zimbra como "una solución de código abierto sin coste de licencias" describe un producto que dejó de existir. Si estás construyendo la política de correo de tu empresa, ese es exactamente el tipo de fuente que no deberías usar. Antes de decidir nada, merece la pena repasar los criterios básicos de un email corporativo y qué debe cumplir un servidor para dar servicio a una plantilla real.

El expediente de seguridad que conviene conocer

Aquí es donde la conversación se pone seria, y donde el contenido que circula sobre Zimbra falla de forma más grave. Es habitual leer que Zimbra "es seguro porque al ser código abierto la comunidad revisa el código". El historial reciente no acompaña esa afirmación.

CVE-2025-66376 es una vulnerabilidad de cross-site scripting almacenado en la interfaz clásica de ZCS. El mecanismo tiene su ironía: el atacante esconde una etiqueta SVG dentro de un bloque HTML invisible y la parte en fragmentos intercalando directivas @import falsas. El saneador de Zimbra hace justo lo que se espera de él, borrar esos @import, y al hacerlo recompone los trozos restantes en una etiqueta ejecutable. Cuando el destinatario simplemente abre el correo en el webmail, el script en Base64 corre con su sesión autenticada.

La cronología:

Fuente: catálogo Known Exploited Vulnerabilities y aviso conjunto AA26-204A de la NSA y CISA.

Lo que se robaba en los buzones comprometidos no eran datos anónimos: credenciales, códigos de respaldo de doble factor y los últimos 90 días de correo. El aviso conjunto de la NSA, CISA y agencias socias atribuye la campaña a un actor estatal ruso al que la comunidad de inteligencia llama con nombres distintos, LAUNDRY BEAR, Void Blizzard, TA488 y CL-STA-1114, y advierte de que esos nombres pueden no referirse exactamente al mismo grupo. Los objetivos descritos abarcan gobierno, defensa, transporte y sector financiero en países de la OTAN, Ucrania, la CEI y África. Conviene leerlo con cuidado: esa lista describe a quién se atacó, no a quién se comprometió.

A esto se suma CVE-2025-48700, un segundo XSS incorporado al catálogo KEV el 20 de abril de 2026. Y este importa todavía más al lector de este artículo, porque afecta a las ramas 8.8.15, 9.0, 10.0 y 10.1. Para las dos primeras no hay parche ni lo habrá: están fuera de soporte. Añade que Zimbra 10.0 alcanzó su fin de vida el 31 de diciembre de 2025, y el margen real se estrecha bastante: la 10.0.18 es un suelo de emergencia, no un destino.

La lectura correcta no es "Zimbra es inseguro". Cualquier servidor de correo expuesto a internet es un objetivo, y Exchange ha protagonizado incidentes de gravedad comparable. La lectura correcta es otra: estuvo cuatro meses explotado sin parche, y quien opera Zimbra asume la responsabilidad completa de parchear en ventanas de días, no de meses. Si tu equipo de sistemas no tiene ese músculo, el autoalojamiento deja de ser un ahorro y se convierte en una exposición. Merece la pena revisarlo dentro de una política más amplia de privacidad y seguridad de la información.

Ventajas reales de Zimbra en 2026

Con todo lo anterior sobre la mesa, Zimbra sigue teniendo argumentos legítimos. Estos son los que se sostienen.

Soberanía del dato. Los buzones residen en infraestructura que controlas. Para una administración pública sujeta a requisitos de ubicación de datos, o para un despacho profesional con obligaciones de confidencialidad, esto es un requisito, no una preferencia. Es también la razón por la que tantas universidades y ayuntamientos españoles siguen ahí.

Coste por buzón a escala. Por encima de unos 200 usuarios, la suscripción anual de Network Edition más el coste de servidor suele salir por debajo de una suscripción por usuario y mes. Con una condición que la sección anterior deja clara: ese cálculo solo se sostiene si incluyes el coste de la persona que aplica los parches en ventanas de días, no de meses. Sin esa partida, no estás ahorrando, estás difiriendo un riesgo.

El resto de argumentos son más discretos pero reales. Al hablar protocolos estándar, migrar buzones fuera de Zimbra es técnicamente viable, y eso te da posición cuando negocias la renovación. Y el acceso a la consola de comandos y a la API SOAP permite automatizar altas, bajas y políticas de retención contra el ERP o el directorio corporativo, algo que en una suite gestionada depende de lo que el proveedor decida exponer.

Lo que ya no es una ventaja: que sea gratis, que sea de código abierto en la práctica, y que sea "seguro por diseño".

Zimbra frente a sus alternativas

Tabla orientativa. Los costes reales dependen del número de buzones, el modelo de licencia contratado y el coste interno de administración de sistemas.

Tres apuntes sobre esa tabla. Carbonio Community Edition, desarrollada por Zextras, es el sucesor arquitectónico directo de Zimbra OSE: mismo stack LDAP/SMTP/IMAP/CalDAV, perfil de hardware equivalente y ruta de migración documentada. Es la salida natural para quien se quedó atrapado en la 8.8.15, con la advertencia de que "sin coste de licencia" no significa funcionalidad completa: los módulos que en Zimbra pagas dentro de Network Edition, en Carbonio están en la edición comercial de Zextras.

El segundo apunte es que hemos puesto Microsoft 365 en la tabla y no Exchange Server, que es el competidor autoalojado directo de Zimbra. La razón es que Exchange en servidor propio comparte exactamente los mismos problemas que acabamos de describir, incluidos incidentes de seguridad de gravedad comparable, y ya casi nadie lo despliega de cero.

Y si el requisito de soberanía no existe, la comparación honesta pasa a ser entre suites gestionadas. Ahí conviene mirar qué incluye realmente Office 365 o alternativas más ligeras como Zoho Mail, que resuelven correo profesional sin que nadie de tu equipo tenga que vigilar boletines de vulnerabilidades.

Cómo decidir si te quedas o migras

Cuatro preguntas, en este orden:

1. ¿Qué versión corres? Si es 8.8.15 o anterior, la decisión ya está tomada: estás sin soporte. La única discusión es hacia dónde.

2. ¿Cuánto tardas en aplicar un parche crítico? Si la respuesta se mide en semanas, el autoalojamiento te está costando más de lo que ahorra.

3. ¿Tienes un requisito legal o contractual de ubicación del dato? Si no lo tienes, el principal argumento a favor de Zimbra desaparece.

4. ¿Cuántos buzones y cuánto cuesta tu administrador de sistemas? Por debajo de 200 buzones, el cálculo casi siempre favorece al SaaS.

Entonces, ¿tiene sentido Zimbra hoy?

Para una organización con más de 200 buzones, un requisito real de soberanía del dato y un equipo de sistemas que aplica parches en días, Zimbra Network Edition sigue siendo una opción defendible y probablemente más barata que la alternativa.

Para todos los demás, el cálculo cambió. La versión gratuita que justificaba la elección desapareció, el producto ha pasado por cuatro dueños y perdió el 93% de su valor de transacción por el camino, y los últimos doce meses han demostrado que quien lo opera necesita disciplina de parcheo de nivel profesional.

Ninguna de esas cosas la vas a leer en la web de quien te vende la licencia. Por eso las hemos puesto aquí.

Preguntas frecuentes sobre Zimbra

¿Zimbra sigue siendo gratis en 2026?

No en el sentido en que lo era. El código fuente sigue publicado, pero Synacor dejó de distribuir binarios compilados a la comunidad a partir de Zimbra 9. La última edición gratuita descargable fue la 8.8.15, cuyo soporte terminó el 31 de diciembre de 2023. Para operar una versión mantenida necesitas licencia de Network Edition.

¿Cómo sé si mi servidor Zimbra es vulnerable?

Comprueba la versión desde la consola de administración o con zmcontrol -v. Si estás por debajo de 10.0.18 o 10.1.13, tu instalación es vulnerable a CVE-2025-66376, y desactivar la interfaz clásica reduce la superficie de ataque mientras parcheas. Si corres 8.8.15 o 9.x la respuesta es más incómoda: no hay parche ni lo va a haber, ambas ramas están fuera de soporte y CVE-2025-48700 las afecta directamente.

¿Se puede migrar de Zimbra a Microsoft 365 sin perder el histórico?

Sí. Al exponer IMAP, Zimbra permite migraciones buzón a buzón con las herramientas nativas de Microsoft o con utilidades de terceros. El correo suele pasar sin incidentes. Lo que se complica son los calendarios compartidos, las listas de distribución y los permisos delegados, que conviene mapear manualmente antes de cortar el servicio.

¿Qué diferencia hay entre Zimbra Network Edition Standard y Professional?

Standard cubre correo, calendario, contactos y backup y restauración en caliente, con soporte comercial. Professional añade el conector nativo para Outlook (ZCO), la sincronización móvil ActiveSync y el módulo de archivado y descubrimiento. La mayoría de organizaciones que vienen de OSE necesitan Professional para no perder capacidades que antes tenían.

¿Zimbra cumple con el RGPD?

El software no cumple ni incumple por sí mismo: el responsable del tratamiento eres tú. Autoalojar facilita acreditar dónde residen los datos, pero traslada a tu organización la obligación de aplicar medidas técnicas apropiadas (artículo 32 del RGPD), y eso incluye mantener el sistema parcheado. Operar una versión sin soporte es difícil de defender ante una autoridad de control.