Zimbra: Russische Spionagegruppe liest Postfächer aus, sobald eine Mail angezeigt wird
Eine Mail zu öffnen genügt. Kein Anhang, kein Link, kein Klick. Mit dieser Methode haben russische Angreifer über Monate hinweg Postfächer westlicher Behörden und Unternehmen ausgeräumt, die die Kollaborationssoftware Zimbra einsetzen. NSA, CISA, FBI und internationale Partnerbehörden haben dazu am 23. Juli 2026 eine gemeinsame Warnung veröffentlicht.
Was ist passiert?
Die Schwachstelle CVE-2025-66376 steckt in der klassischen Weboberfläche von Zimbra. Es handelt sich um ein Stored Cross-Site Scripting, bei dem eine präparierte HTML-Mail die Verarbeitung von CSS-Anweisungen des Typs @import missbraucht. Der Schadcode läuft, sobald die Nachricht dargestellt wird, und erbt dabei die Rechte der angemeldeten Sitzung. Der Nutzer muss nichts anklicken, die Vorschau reicht.
Die Behörden sprechen von einem sichtbasierten Exploit, Palo Alto Networks nennt es Zero-Click. Wie schwer die Lücke wiegt, sehen die Datenbanken unterschiedlich: die NVD vergibt 6.1 und wertet das Anzeigen als Nutzerinteraktion, MITRE vergibt 7.2 und tut das nicht. Am Verhalten ändert das nichts.
Zimbra hat die Lücke bereits am 6. November 2025 geschlossen. Die Angreifer nutzten sie zu diesem Zeitpunkt laut Proofpoint schon rund fünf Monate lang als unbekannten Zero-Day. Die CISA führt sie seit dem 18. März 2026 in ihrem Katalog aktiv ausgenutzter Schwachstellen. Angegriffen wird sie weiterhin, weil zu viele Server nicht aktualisiert sind.
Für Deutschland ist das keine abstrakte Gefahr. Das BSI hatte im Januar 2026 gemeldet, dass von rund 1.500 hierzulande erreichbaren Zimbra-Servern etwa 40 Prozent auf nicht mehr unterstützten oder angreifbaren Versionen laufen.
Wer steckt dahinter?
Die Behörden führen die Kampagne auf eine russische staatlich unterstützte Gruppe zurück, die unter mehreren Namen bekannt ist: LAUNDRY BEAR, Void Blizzard, CL-STA-1114 und TA488. Die Zuordnung untereinander ist nicht deckungsgleich, darauf weist die Warnung selbst hin. Ziel der Operation ist nach Einschätzung der Behörden das Sammeln nachrichtendienstlich verwertbarer Informationen für die Russische Föderation.
Betroffen sind laut Advisory Regierungen, Verteidigung, Energieversorger, Technologie- und Bildungseinrichtungen, Medien, Strafverfolgung und Nichtregierungsorganisationen. Unit 42 nennt zusätzlich Verkehr und Finanzwesen und verortet die Ziele in NATO-Staaten, der Ukraine, der Gemeinschaft Unabhängiger Staaten und Afrika. Neu ist das technische Niveau: Frühere Kampagnen der Gruppe kamen mit Password Spraying, Phishing und gestohlenen Sitzungscookies aus.
Was der Schadcode im Postfach anrichtet
Die Mails kommen von Proton-Mail-Konten der Angreifer oder von bereits übernommenen Adressen und sind oft als Nachrichtenüberblick aufgemacht. Der Exploit steckt im HTML-Körper. Er versteckt ein svg onload in einem unsichtbaren Element und zerlegt es mit vorgeschobenen @import-Anweisungen und HTML-Kommentaren so, dass Zimbras Filter die Bruchstücke nicht als ausführbaren Code erkennt. Beim Entfernen der Anweisungen fügen sich die Reste wieder zu funktionierendem JavaScript zusammen.
Was dann passiert, beschreiben Proofpoint und die Behörden übereinstimmend. Proofpoint nennt den Schadcode ZimReaper, die Behörden beschreiben die Sammel- und Abflusskomponente unter dem Namen Ulej:
- Der Code greift das CSRF-Token und das im Browser gespeicherte Passwort ab.
- Über die Programmierschnittstellen von Zimbra holt er die Ersatzcodes für die Zwei-Faktor-Anmeldung sowie die Versionsinformationen des Servers. Diese Daten fließen über DNS-Anfragen an die Infrastruktur der Angreifer ab.
- Anschließend fragt er das globale Adressbuch systematisch mit allen Zweibuchstaben-Kombinationen ab, bis die gesamte Liste vorliegt.
- Zum Schluss lädt er die Nachrichten der letzten 90 Tage als Archiv zum Steuerserver hoch.
Besonders unangenehm ist der letzte Schritt: Der Schadcode legt über CreateAppSpecificPasswordRequest ein anwendungsspezifisches Passwort mit dem Namen ZimbraWeb an. Damit kommt ein Angreifer per IMAP, POP3 oder SMTP an das Postfach, ohne die Zwei-Faktor-Anmeldung zu durchlaufen. In einem von Seqrite untersuchten Fall bei einer ukrainischen Behörde wurde zusätzlich zimbraPrefImapEnabled auf TRUE gesetzt. Solche Passwörter überstehen ein Zurücksetzen des Kennworts.
- Zimbra Collaboration auf mindestens 10.0.18 beziehungsweise 10.1.13 aktualisieren. Da Zimbra 10.0 seit dem 31. Dezember 2025 keine Pflege mehr erhält, ist 10.0.18 nur eine Notlösung. Der Umstieg auf einen aktuellen 10.1-Stand ist der eigentliche Weg, die Version 10.1.20 vom 20. Juli 2026 schließt vier weitere Stored-XSS-Lücken im klassischen Webclient.
- Konten identifizieren, bei denen zimbraPrefImapEnabled auf TRUE steht, obwohl IMAP fachlich nicht gebraucht wird.
- Jedes Postfach, in dem eine passende Nachricht in einer verwundbaren Sitzung angezeigt wurde, als kompromittiert behandeln: Passwort zurücksetzen, aktive Sitzungen beenden, Zwei-Faktor-Ersatzcodes neu erzeugen.
- Zugestellte, aber nie geöffnete Nachrichten aus den Postfächern entfernen und ihr HTML auf das zerstückelte @import-Muster prüfen. Proofpoint hat dafür eine YARA-Regel veröffentlicht.