LONDON (IT BOLTWISE) – Eine behördlich abgestimmte Sicherheitswarnung beschreibt, wie ein russisch unterstütztes Spionage-Cluster über ein damals unbekanntes Zimbra-Webmail-Problem an die Inhalte westlicher Postfächer gelangte. Entscheidend ist die Angriffstechnik: Das Öffnen oder nur das Anzeigen einer präparierten E-Mail in der anfälligen Classic UI reicht, um Schadcode im authentifizierten Sitzungskontext auszuführen. Betroffen sind Zimbra Collaboration 10.0 bis 10.0.18 sowie 10.1 bis 10.1.13, wobei der Fix am 6. November 2025 erfolgte und spätere Katalogeinträge die Ausnutzung unterstreichen. Für Verteidiger gilt danach aber vor allem eins: Updates stoppen nicht automatisch das, was der letzte Payload-Abgriff bereits aus dem Konto gezogen hat.
Die Warnung von NSA und CISA, ergänzt durch Partnerorganisationen, dreht sich um einen gespeicherten Sicherheitsfehler im Zimbra-Webmail-Client, der als CVE-2025-66376 geführt wird: Eine stored cross-site scripting (Stored XSS)-Schwachstelle sitzt in der Classic UI. Der Angriff ist nicht an einen separaten Klick auf einen Link gebunden. Stattdessen reicht bereits das Öffnen oder Vorschauen einer präparierten Nachricht, damit beim Rendern der Inhalte im Browser Schadlogik im Kontext der bereits authentifizierten Webmail-Session läuft. Damit verlagert sich die operative Hürde für Angreifer deutlich: Der Payload „erbt“ die Berechtigungen des Nutzers im Postfach und kann Tokens und gespeicherte Zugriffsdaten abgreifen, ohne dass der Nutzer zusätzliche Interaktionen ausführen muss.
Technisch betrachtet nutzt die E-Mail einen HTML/CSS-Trick, bei dem speziell geformte Inhalte die Art und Weise ausnutzen, wie der Client CSS @import-Behandlung vornimmt. In der beschriebenen Variante wird ein -onload-Element in einer inaktiven display: none-Struktur versteckt, anschließend werden die relevanten Tag-Segmente durch „tag-splitting“ so fragmentiert, dass die Zimbra-Sanitizer-Komponente die Fragmente nicht als ausführbares Markup erkennt. Proofpoint beschreibt diese Aufbereitung zudem als ZimReaper-Logik: Der Code stiehlt den CSRF-Token, greift auf das Browser-Autofill-Passwort zu und holt darüber hinaus über die internen Zimbra-Plattform-APIs Informationen wie Versiondetails und 2FA-Recovery-Scratch-Codes. Anschließend wird die Exfiltration nicht über klassische HTTPS-Requests getrieben, sondern über DNS-Abfragen zu Servern in der Angreifer-Infrastruktur; so lässt sich die Kommunikation oft besser in scheinbar harmlosen Namensanfragen verbergen.
Ein besonders einflussreicher Teil der Kampagnenbeschreibung betrifft nicht nur die Ausleitung von Geheimnissen, sondern auch das spätere Ausnutzen von Zugriffsmöglichkeiten. Nach dem Token- und Code-Diebstahl folgt laut den vorliegenden Auswertungen eine systematische Abfrage der Global Address List: Der Payload „brute-forct“ Kombinationen aus zwei Zeichen, bis die komplette Liste zurückkommt. Danach werden die letzten 90 Tage der E-Mails des Opfers als TGZ-Archiv zusammengestellt und an das Command-and-Control-System übermittelt. Unit 42 beziffert in der Analyse mindestens neun C2-IP-Adressen und neun Domains, wobei einzelne Server im Mittel rund 35,4 Tage aktiv waren. Die Dauer einzelner Infrastruktureinheiten wirkt dabei wie ein Operational Trade-off: kurz genug, um Erkennung zu erschweren, aber lang genug, um Exfiltration und anschließende Folgeaktionen effizient abzuschließen.
Für den praktischen Schutz ist dabei die zweite Ebene der Schwachstellenkette entscheidend: Der Payload erzeugt ein app-spezifisches Passwort, benannt als „ZimbraWeb“, über eine CreateAppSpecificPasswordRequest. Solche App-spezifischen Passwörter können IMAP, POP3 oder SMTP-Zugriff ermöglichen, ohne dass dabei die Zwei-Faktor-Authentifizierung erneut durchlaufen werden muss. Proofpoint weist außerdem darauf hin, dass die Angreifer nach der ersten Kompromittierung weitere Exploit-E-Mails aus kompromittierten Mailservern senden konnten. Selbst wenn ein Patch die eigentliche Ausnutzung stoppt, bleiben damit die bereits missbrauchten Zugangsdaten ein eigenes Problem: Ein Update widerruft nicht automatisch das, was die kompromittierte Session schon erstellt oder ausgelesen hat. Genau deshalb rückt die Post-Exploitation-Phase in den Fokus der Empfehlungen: nicht nur Versionen aktualisieren, sondern Konten gründlich prüfen und die Authentifizierungsartefakte zurücksetzen.
Die betroffenen Softwarestände sind klar abgegrenzt: Zimbra Collaboration 10.0 vor 10.0.18 und 10.1 vor 10.1.13. Laut den Angaben erfolgte die Behebung am 6. November 2025; CISA führte die Schwachstelle später am 18. März 2026 in den Katalog der „Known Exploited Vulnerabilities“ ein. Für Organisationen heißt das in der Umsetzung nicht nur „patchen“, sondern auch „Prioritäten richtig setzen“: Zimbra 10.0 erreicht laut Hinweis zum Lebenszyklus am 31. Dezember 2025 das Ende des Supports, wodurch 10.0.18 nicht als Zielzustand, sondern als Notfall-Sockel betrachtet werden muss. Die neueste 10.1-Freigabe wird als 10.1.20 genannt und behebt zusätzlich vier weitere gespeicherte XSS-Fehler im Classic Web Client; außerdem wird empfohlen, 10.1-Deployments auf mindestens 10.1.13 anzuheben und die 10.0-Instanzen auf eine unterstützte 10.1-Basis zu migrieren.
Für die Incident Response liefern die Vor-Ort-Schritte einen konkreten Handlungsrahmen. Jede Mailbox, in der eine passende Nachricht in einer verwundbaren Classic-UI-Session geöffnet oder nur im Vorschau-Modus rendern ließ, sollte als potenziell kompromittiert behandelt werden: Passwort zurücksetzen, aktive Sessions invalidieren und die 2FA-Recovery-Scratch-Codes neu generieren. Zusätzlich sollten E-Mails, die zwar zugestellt wurden, aber nicht geöffnet/angezeigt wurden, trotzdem aus dem Postfachbestand gezogen und ihr HTML auf das fragmentierte @import-Muster geprüft werden; Proofpoint beschreibt hierzu eine YARA-Regel, die genau diese Struktur erkennt. Außerdem empfiehlt der Leitfaden, im Audit-Log unter /opt/zimbra/log/audit.log nach Aufrufen von CreateAppSpecificPassword zu suchen und erzeugte Berechtigungen mit dem Namen „ZimbraWeb“ zu entfernen. Weitere Alarmpunkte sind unter anderem der Zustand von zimbraPrefImapEnabled=TRUE ohne fachliche Notwendigkeit sowie unerwartete SOAP-Aufrufe wie GetScratchCodesRequest. Parallel dazu lässt sich die DNS-Exfiltration überwachen, indem man die in der Veröffentlichung genannten C2-Domains und das auffällige Muster der langen, zufallsartigen Subdomain-Lookups priorisiert.
Offen bleibt trotz der zahlreichen technischen Details, wie lange sich einzelne Zielcluster tatsächlich halten konnten und ob die beobachtete Infrastruktur in allen Fällen identisch war. Unit 42 beschreibt zwar fortgesetztes Targeting ungetesteter ZCS-Instanzen, nennt aber nicht, ob die eigenen Treffer auch exakt diese Cluster umfassen. Gleichzeitig sagt Proofpoint, seit Februar 2026 keine Aktivität von TA488 mehr beobachtet zu haben, und verknüpft diese Pause mit der Disclosure-Wirkung sowie dem Abbau eigener Infrastruktur. Interessant ist zudem die Zuordnung innerhalb der Community: In der Advisory werden Namen wie LAUNDRY BEAR, Void Blizzard, CL-STA-1114 und TA488 als gebräuchliche Zuordnungen erwähnt, wobei die Abbildung nicht zwingend 1:1 sein müsse. Für Unternehmen bleibt die Verteidigungslogik daher unverändert: Patchen verhindert den nächsten einmaligen „View“-Trigger, aber nur die Kontenprüfung stoppt die Folgen des bereits ausgeführten Schadcodes.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zimbra-Zero-Day in Classic UI: gespeichertes XSS stiehlt Mail, 2FA-Codes und Tokens" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zimbra-Zero-Day in Classic UI: gespeichertes XSS stiehlt Mail, 2FA-Codes und Tokens" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zimbra-Zero-Day in Classic UI: gespeichertes XSS stiehlt Mail, 2FA-Codes und Tokens« bei Google Deutschland suchen, bei Bing oder Google News!