Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Zimbra Collaboration Suite ponownie znalazła się w centrum uwagi zespołów bezpieczeństwa za sprawą aktywnie wykorzystywanej luki zero-day w klasycznym interfejsie webmail. Problem dotyczył podatności typu stored cross-site scripting, która pozwalała na uruchomienie złośliwego kodu JavaScript w chwili wyświetlenia spreparowanej wiadomości e-mail.
W praktyce oznaczało to przejęcie kontekstu zalogowanej sesji użytkownika bez konieczności infekowania stacji roboczej dodatkowym malware. Taki scenariusz jest szczególnie groźny, ponieważ webmail bardzo często stanowi centralny punkt dostępu do komunikacji, kontaktów i procesów operacyjnych organizacji.
W skrócie
Według ujawnionych informacji rosyjsko powiązana grupa szpiegowska wykorzystała podatność oznaczoną jako CVE-2025-66376 do ataków na organizacje rządowe i komercyjne. Luka dotyczyła Zimbra Classic UI i była wykorzystywana co najmniej od lipca 2025 roku, zanim producent załatał ją 6 listopada 2025 roku.
Atak umożliwiał kradzież korespondencji z ostatnich 90 dni, pobranie globalnej książki adresowej, pozyskanie haseł zapisanych w przeglądarce oraz kodów odzyskiwania 2FA. Dodatkowo operatorzy mogli tworzyć hasła aplikacyjne, które utrzymywały dostęp do konta nawet po zmianie głównego hasła użytkownika.
Kontekst / historia
Kampania została publicznie opisana 23 lipca 2026 roku przez podmioty rządowe i firmy specjalizujące się w analizie zagrożeń. Badacze powiązali tę aktywność z rosyjsko wspieraną operacją cyberwywiadowczą śledzoną pod nazwami TA488, CL-STA-1114, Void Blizzard oraz LAUNDRY BEAR.
Cele obejmowały zachodnie organizacje rządowe, sektor obronny, transportowy, finansowy i naukowy, a także podmioty związane z Ukrainą, państwami NATO, krajami WNP oraz wybranymi regionami Afryki. Sam wektor ataku wpisuje się w rosnący trend nadużyć wymierzonych w platformy webmail, gdzie przeglądarka użytkownika staje się środowiskiem wykonawczym dla złośliwego kodu.
Analiza techniczna
CVE-2025-66376 to podatność stored XSS w Zimbra Classic UI. Mechanizm nadużycia opierał się na odpowiednio spreparowanej wiadomości HTML, która wykorzystywała obsługę dyrektyw CSS @import do obejścia mechanizmów sanityzacji treści.
Złośliwy kod był ukrywany w taki sposób, aby po przetworzeniu przez klienta webmail odtworzyć wykonywalny znacznik, między innymi z użyciem techniki rozbijania tagów i elementu svg onload. Kluczowe było to, że ładunek uruchamiał się w kontekście uwierzytelnionej sesji użytkownika.
Dzięki temu skrypt dziedziczył uprawnienia ofiary i mógł wykonywać działania przez natywne mechanizmy platformy. Obejmowało to przejęcie tokenu CSRF, odczyt haseł autouzupełnianych przez przeglądarkę, pobranie kodów odzyskiwania 2FA, identyfikację wersji Zimbry oraz eksport danych z konta.
Szczególnie istotnym elementem operacji było tworzenie hasła aplikacyjnego o nazwie ZimbraWeb poprzez żądania SOAP. Taki artefakt mógł zapewnić trwały dostęp przez IMAP, POP3 lub SMTP z pominięciem standardowego mechanizmu MFA. W niektórych przypadkach obserwowano również zmianę ustawienia zimbraPrefImapEnabled, co dodatkowo rozszerzało możliwości utrzymania dostępu.
Eksfiltracja danych nie ograniczała się do pojedynczych wiadomości. Narzędzia używane w kampanii potrafiły pobrać około 90 dni poczty ofiary jako archiwum, enumerować globalną listę adresową i przesyłać dane do infrastruktury atakującego, również z wykorzystaniem zapytań DNS.
Podatność dotyczyła wersji Zimbra Collaboration 10.0 wcześniejszych niż 10.0.18 oraz 10.1 wcześniejszych niż 10.1.13. Choć poprawka usunęła lukę, sama aktualizacja nie eliminuje skutków wcześniejszego przejęcia konta, dlatego każde potencjalnie narażone środowisko należy traktować jak możliwy incydent bezpieczeństwa.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią jest bardzo wysokie. Z perspektywy ofiary atak był niemal niewidoczny, ponieważ do uruchomienia ładunku wystarczało wyświetlenie spreparowanej wiadomości w podatnym kliencie webmail.
Kompromitacja na poziomie sesji dawała atakującemu bezpośredni dostęp do korespondencji, kontaktów i funkcji przypisanych do użytkownika. Kradzież kodów odzyskiwania 2FA oraz tworzenie haseł aplikacyjnych znacząco utrudniały wykrycie ataku i całkowite odcięcie przeciwnika od konta.
Dla organizacji skutki mogą obejmować długotrwały wyciek korespondencji, naruszenie poufności komunikacji z partnerami, pozyskanie wiedzy o strukturze organizacyjnej oraz wtórne nadużycia z użyciem przejętych skrzynek. Szczególnie niebezpieczne jest wykorzystanie legalnych kont pocztowych do dalszego rozsyłania phishingu wewnątrz organizacji i do zaufanych podmiotów zewnętrznych.
Rekomendacje
Organizacje korzystające z Zimbry powinny potraktować tę podatność nie tylko jako problem aktualizacji, lecz także jako potencjalne naruszenie kont. Priorytetem jest wdrożenie wersji wolnych od CVE-2025-66376 oraz weryfikacja, czy podatne instancje nie były eksponowane w okresie aktywnego wykorzystywania luki.
Po wdrożeniu poprawek należy przeprowadzić działania remediacyjne po stronie użytkowników i administracji.
- zresetować hasła użytkowników,
- unieważnić aktywne sesje,
- wygenerować nowe kody odzyskiwania 2FA,
- przejrzeć i usunąć podejrzane hasła aplikacyjne, zwłaszcza wpisy o nazwie
ZimbraWeb, - sprawdzić, czy IMAP nie został włączony bez uzasadnienia biznesowego.
Z perspektywy detekcji i response warto również:
- analizować logi audytowe pod kątem wywołań
CreateAppSpecificPassword, - wykrywać żądania związane z pobieraniem scratch codes, takie jak
GetScratchCodesRequest, - wyszukiwać wiadomości HTML zawierające charakterystyczne, fragmentowane dyrektywy
@import, - monitorować anomalię w ruchu DNS mogące wskazywać na eksfiltrację danych,
- przejrzeć historię logowań oraz nietypowe eksporty danych i masowy dostęp do starszej korespondencji.
W środowiskach wysokiego ryzyka warto dodatkowo ograniczyć użycie klasycznego interfejsu webmail, wdrożyć twardsze polityki bezpieczeństwa przeglądarki oraz rozszerzony monitoring sesji.
Podsumowanie
Opisana kampania pokazuje, że webmail pozostaje atrakcyjnym celem dla operacji cyberwywiadowczych. W przypadku CVE-2025-66376 stawką nie była wyłącznie kradzież pojedynczych wiadomości, lecz pełna operacyjna kontrola nad kontem pocztowym, obejmująca poświadczenia, dane MFA i trwałe mechanizmy dostępu.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest jednoznaczny: sama aktualizacja Zimbry jest konieczna, ale niewystarczająca. Jeżeli podatny system był dostępny, a użytkownicy mogli wyświetlić złośliwe wiadomości, incydent należy traktować jak potencjalne przejęcie kont i przeprowadzić pełne działania dochodzeniowe oraz remediacyjne.
Źródła
- The Hacker News — https://thehackernews.com/2026/07/russian-espionage-group-exploited.html
- Proofpoint — TA488 Targets Zimbra Mailservers with Half-Click Exploits — https://www.proofpoint.com/us/blog/threat-insight/ta488-targets-zimbra-mailservers-half-click-exploits
- Zimbra Tech Center — Zimbra Releases/10.1.13 — https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.13
- NVD — CVE-2025-66376 — https://nvd.nist.gov/vuln/detail/CVE-2025-66376
- BleepingComputer — Russian hackers exploit Zimbra zero-click flaw for email theft — https://www.bleepingcomputer.com/news/security/russian-hackers-exploit-zimbra-zero-click-flaw-for-email-theft/amp/