Nhóm gián điệp Nga khai thác lỗ hổng Zimbra để đánh cắp email và mã 2FA
"A Russian state-backed espionage group exploited CVE-2025-66376, a stored XSS flaw in Zimbra Classic UI, to execute JavaScript when victims viewed crafted emails and steal mail, browser-saved passwords, 2FA scratch codes, and directory data. Zimbra fixed the issue in versions 10.0.18 and 10.1.13, and CISA later added it to the KEV catalog; defenders are advised to patch, reset affected accounts, invalidate sessions, and review for app-specific passwords and IMAP enablement."
Nguy cơ cao do stored XSS cho phép đánh cắp mật khẩu trình duyệt, mã 2FA scratch và dữ liệu email chỉ qua hành vi xem email trong phiên đăng nhập; bản vá không tự động thu hồi quyền đã bị lấy.
Tác động đáng kể đến vận hành do khả năng làm lộ dữ liệu thư tín và làm suy yếu cơ chế xác thực, kéo theo rủi ro gián đoạn truy cập email/IMAP và chi phí xử lý sự cố cho các tài khoản bị ảnh hưởng.
Một nhóm gián điệp được hậu thuẫn bởi nhà nước đã khai thác CVE-2025-66376 (stored XSS) trong Zimbra Collaboration Classic UI để thực thi JavaScript ngay khi nạn nhân mở/hiển thị email được chế tạo. Kỹ thuật này được mô tả là view-based exploit: chỉ cần thao tác xem nội dung trong phiên webmail đang đăng nhập là đủ để payload kế thừa quyền truy cập của người dùng.
Theo các cơ quan và đơn vị nghiên cứu, payload nhắm vào 90 ngày email gần nhất, toàn bộ thư mục email, mật khẩu được trình duyệt lưu, mã scratch để khôi phục 2FA, và dữ liệu thư mục. Lỗ hổng ảnh hưởng Zimbra 10.0 trước 10.0.18 và 10.1 trước 10.1.13; bản vá được ghi nhận từ 06/11/2025, và sau đó được đưa vào CISA KEV (18/03/2026).
Khuyến nghị: ưu tiên nâng cấp lên bản đã vá (đặc biệt với 10.0 đã hết vòng đời), sau đó reset mật khẩu, vô hiệu hóa session, và tạo lại mã scratch 2FA cho các tài khoản có thể đã mở/preview email độc hại. Đồng thời rà soát CreateAppSpecificPasswordRequest (tạo mật khẩu ứng dụng như ZimbraWeb), kiểm tra cấu hình zimbraPrefImapEnabled, và đối chiếu dấu hiệu trong log/audit cũng như mẫu HTML liên quan đến phân mảnh @import.