Tak. Aktywnie wykorzystywana luka CVE-2025-66376 w Zimbra Collaboration Suite może pozwolić atakującemu uruchomić złośliwy kod, gdy użytkownik jedynie wyświetli odpowiednio przygotowaną wiadomość w podatnej wersji webmaila. Dla firmy oznacza to ryzyko wycieku korespondencji, danych logowania i tokenów uwierzytelniania wieloskładnikowego — bez kliknięcia w link ani otwarcia załącznika.
Jeżeli Twoja organizacja korzysta z Zimbra, priorytetem jest ustalenie wersji systemu, aktualizacja oraz sprawdzenie, czy infrastruktura i konta nie wykazują śladów nadużycia. CHORS.NET realizuje usługę Continuous Monitoring, która pomaga stale wykrywać ekspozycję usług, nowe podatności i ryzyka wymagające reakcji.
Najważniejsza informacja: sam fakt korzystania z poczty Zimbra nie oznacza incydentu. Oznacza jednak, że wersję systemu, sposób korzystania z Classic UI oraz historię aktywności należy zweryfikować bez zwłoki.
Na czym polega ryzyko dla biznesu?
CVE-2025-66376 to podatność typu stored cross-site scripting (XSS) w Zimbra Collaboration Suite. Atakujący może umieścić złośliwy kod w wiadomości HTML, a następnie doprowadzić do jego uruchomienia w kontekście zalogowanej sesji użytkownika, gdy wiadomość zostanie wyświetlona w Classic UI.
W praktyce atak zero-click oznacza, że tradycyjna ostrożność użytkownika — nieklikanie linków i nieotwieranie załączników — może nie wystarczyć. Z perspektywy zarządu ryzyko dotyczy ciągłości działania, poufności korespondencji handlowej, danych klientów, negocjacji, dokumentów oraz dostępu do kolejnych systemów powiązanych z kontem e-mail.
Agencje CISA, NSA i FBI ostrzegły, że rosyjska grupa określana jako Laundry Bear wykorzystywała tę podatność w kampanii wymierzonej w organizacje zachodnie, prawdopodobnie w celach szpiegowskich. Według advisory celem były m.in. podmioty z sektorów administracji, obronności, technologii, edukacji, mediów i organizacji pozarządowych.
Kogo dotyczy CVE-2025-66376?
Podatność dotyczy Zimbra Collaboration Suite w wersji 10.0 wcześniejszej niż 10.0.18 oraz w wersji 10.1 wcześniejszej niż 10.1.13. Problem związany jest z użyciem interfejsu Classic UI i obsługą złośliwych dyrektyw CSS @import w wiadomościach HTML.
Ryzyko powinny potraktować priorytetowo firmy, które:
- utrzymują własny serwer Zimbra lub korzystają z hostowanej instancji Zimbra;
- nie mają potwierdzonego procesu patch management dla serwera pocztowego;
- nadal używają Classic UI;
- przetwarzają w poczcie dane klientów, dokumenty finansowe, oferty, dane osobowe lub informacje handlowe;
- nie monitorują logów serwera pocztowego, anomalii logowania i zmian w konfiguracji kont;
- nie wiedzą, które systemy i konta są publicznie dostępne z internetu.
Co może uzyskać atakujący?
W opisywanej kampanii użyto narzędzia do agregacji i eksfiltracji danych określanego jako Ulej. Według wspólnego ostrzeżenia instytucji bezpieczeństwa jego użycie mogło prowadzić do pozyskiwania wrażliwych danych użytkowników.
Skutki techniczne i biznesowe mogą obejmować:
- dostęp do treści firmowej korespondencji;
- przejęcie danych uwierzytelniających lub haseł aplikacyjnych;
- kradzież tokenów 2FA/MFA i danych sesyjnych;
- dostęp do książki adresowej oraz informacji o strukturze organizacji;
- użycie przejętego konta do dalszego phishingu, oszustw BEC lub ruchu lateralnego;
- długotrwałe ryzyko, jeżeli po incydencie nie zostaną unieważnione sesje, tokeny i hasła aplikacyjne.
W kampanii opisanej przez CISA atak nie wymagał klasycznej interakcji użytkownika. Wystarczyło wyświetlenie wiadomości w podatnej wersji Zimbra, dlatego organizacja powinna traktować aktualizację jako działanie pilne, a nie jako zwykłą czynność administracyjną.
Jak ograniczyć ryzyko teraz?
Pierwszym krokiem jest potwierdzenie wersji Zimbra i niezwłoczne przejście na wersję zawierającą poprawkę. Dla CVE-2025-66376 poprawki udostępniono w Zimbra Collaboration Suite 10.0.18 oraz 10.1.13.
Plan działania dla administratora
- Ustal wersję Zimbra Collaboration Suite oraz zakres użycia Classic UI.
- Zaktualizuj Zimbra do wersji bezpiecznej lub nowszej, zgodnie z dokumentacją producenta i własnym procesem zmian.
- Jeżeli natychmiastowa aktualizacja nie jest możliwa, ogranicz korzystanie z Classic UI i zastosuj alternatywny klient poczty do czasu wdrożenia poprawki.
- Przejrzyj logi serwera pocztowego, zdarzenia uwierzytelniania, nietypowe działania na skrzynkach oraz ruch wychodzący mogący wskazywać na eksfiltrację.
- Sprawdź utworzone hasła aplikacyjne, aktywne sesje, reguły przekazywania poczty, zmiany konfiguracji kont i nietypowe integracje.
- Jeżeli wykryjesz wskaźniki kompromitacji, odizoluj ryzyko zgodnie z planem reagowania na incydenty: zabezpiecz materiał dowodowy, unieważnij sesje i tokeny, zresetuj poświadczenia oraz przeanalizuj zakres naruszenia.
- Włącz stałe monitorowanie podatności i ekspozycji usług, aby nowe krytyczne ryzyka nie pozostawały niewykryte między okresowymi audytami.
Nie wykonuj działań inwazyjnych wobec systemów bez właściwego upoważnienia. Weryfikacja środowiska produkcyjnego powinna być prowadzona w ramach uzgodnionego zakresu, procedur zmian i polityki reagowania na incydenty.
Dlaczego patchowanie poczty nie wystarcza?
Aktualizacja jest niezbędna, ale nie odpowiada na pytanie, czy podatna instancja była już wcześniej eksploatowana. Gdy atakujący zdążył uzyskać token sesji, hasło aplikacyjne albo dostęp do skrzynki, sama instalacja poprawki może nie usunąć skutków kompromitacji.
Dlatego skuteczny proces obejmuje trzy warstwy:
| Obszar | Pytanie kontrolne | Działanie |
|---|---|---|
| Aktualizacja | Czy używana wersja Zimbra zawiera poprawkę? | Aktualizacja do bezpiecznej wersji i kontrola konfiguracji |
| Weryfikacja incydentu | Czy istnieją ślady nietypowych logowań, reguł lub transferów danych? | Analiza logów, kont, tokenów, haseł aplikacyjnych i aktywności skrzynek |
| Ciągłe ograniczanie ryzyka | Czy firma wykryje kolejną aktywnie wykorzystywaną podatność na czas? | Stały monitoring ekspozycji, podatności i priorytetów naprawy |
Komentarz eksperta CHORS.NET
„W systemach pocztowych największym błędem operacyjnym nie jest wyłącznie brak aktualizacji. Jest nim brak jednoznacznej odpowiedzi na trzy pytania: co jest wystawione do internetu, czy podatność jest aktywnie wykorzystywana oraz czy po wdrożeniu poprawki pozostały ślady wcześniejszego dostępu. Bez tych odpowiedzi firma tylko zakłada, że ryzyko zostało zamknięte."
— inż. Marcin Białczyk, CHORS.NET
W CHORS.NET podchodzimy do ryzyka pocztowego jako do problemu biznesowego: priorytetem jest ustalenie ekspozycji, ocena pilności, dostarczenie konkretnych rekomendacji i wsparcie w uporządkowaniu dalszych kroków. Nie zastępujemy zespołu IT — pomagamy mu szybciej podjąć decyzję, na czym skoncentrować działania.
Najczęściej zadawane pytania
Czy CVE-2025-66376 dotyczy każdej instalacji Zimbra?
Nie. Dotyczy określonych wersji Zimbra Collaboration Suite: wersji 10.0 wcześniejszych niż 10.0.18 oraz 10.1 wcześniejszych niż 10.1.13. Organizacja powinna jednak potwierdzić rzeczywistą wersję, konfigurację i użycie Classic UI w swoim środowisku.
Czy wystarczy zainstalować aktualizację Zimbra?
Aktualizacja jest kluczowa, ale nie wystarcza do potwierdzenia, że nie doszło wcześniej do kompromitacji. Po aktualizacji warto sprawdzić logi, aktywne sesje, tokeny, hasła aplikacyjne, reguły przekazywania poczty i nietypową aktywność kont.
Co oznacza atak zero-click w Zimbra?
Atak zero-click nie wymaga od użytkownika kliknięcia w link, pobrania pliku ani wpisania hasła na fałszywej stronie. W opisanym scenariuszu wystarczyło wyświetlenie spreparowanej wiadomości w podatnej wersji Zimbra Classic UI.
Czy firma bez własnego działu bezpieczeństwa może sprawdzić ryzyko?
Tak. Firma może zacząć od ustalenia, kto administruje Zimbra, jaka wersja jest używana oraz czy wdrożono poprawkę. Następnie warto objąć pocztę i publicznie dostępne usługi procesem monitorowania ekspozycji oraz podatności, aby szybciej identyfikować ryzyka wymagające decyzji.
Czy Continuous Monitoring zastępuje reagowanie na incydenty?
Nie. Continuous Monitoring pomaga wcześniej identyfikować podatności, ekspozycję i sygnały ryzyka, ale wykryty lub podejrzewany incydent wymaga odrębnych działań zgodnych z procedurą reagowania na incydenty. Monitoring skraca czas wykrycia i pomaga ustalać priorytety.
Sprawdź ekspozycję swojej poczty
Jeżeli korzystasz z Zimbra albo nie masz pewności, jaki system obsługuje firmową pocztę, zacznij od uporządkowania widocznej z internetu ekspozycji i priorytetów naprawy. Continuous Monitoring CHORS.NET pomaga stale identyfikować podatności oraz zmiany, które mogą zwiększać ryzyko dla firmy.
Zobacz usługę Skan ekspozycji internetowej → lub Audyt podatności →