In der Kollaborationssoftware Zimbra, die etwa Mail und Kalender und weitere Funktionen vereint, finden sich regelmäßig Sicherheitslücken, die die Entwickler mit Updates schließen. Admins installieren die offenbar weiterhin sehr zögerlich, denn internationale (IT-)Sicherheitsbehörden warnen nun gemeinsam vor Angriffen von russischen Akteuren, die mindestens seit Juli 2025 unter anderem eine Zero-Click-Lücke in Zimbra missbrauchen. Ziel der Angriffe sind demnach westliche Regierungen, kommerzielle sowie Bildungseinrichtungen, der Energiesektor, Strafverfolger, Medien, Nichtregierungsorganisationen und der Technologiesektor.

Davor warnt unter anderem die US-amerikanische IT-Sicherheitsbehörde CISA aktuell auf ihrer Webseite. Insbesondere die kriminelle Gruppierung Laundry Bear (weitere Namen: Void Blizzard, CL-STA-1114 oder TA488 und UNK_PitStop) soll demzufolge vertrauliche Informationen für die russische Regierung sammeln, mit Hauptaugenmerk auf E-Mails. Während die Cybergang zuvor auf eher weniger ausgefeilte Techniken wie Password-Spraying, Phishing und Pass-the-Cookie (Session-Cookie-Diebstahl) setzte, nutzt sie in den jüngeren Kampagnen eine Zero-Day-Schwachstelle in ZCS (CVE-2025-66376, CVSS 7.2, Risiko „hoch“). Opfer müssen nicht einmal mehr einen bösartigen Link klicken, sondern die Anzeige der E-Mail reicht aus, um die Schwachstelle auszunutzen und den Angreifern unbefugten Zugriff auf die E-Mails zu ermöglichen.

Die Sicherheitslücke haben die Zimbra-Entwickler im November 2025 mit aktualisierter Software geschlossen. Im Januar dieses Jahres warnte auch das Bundesamt für Sicherheit in der Informationstechnik (BSI), dass von 1500 Zimbra-Servern in Deutschland rund 40 Prozent mit nicht mehr vom Hersteller unterstützten Softwareversionen laufen oder für bekannte Sicherheitslücken anfällig seien. Spätestens seit Mitte März sind zudem Angriffe auf die Lücke CVE-2025-66376 bekannt.

Zahlreiche Behörden drängen zu Updates

Diverse internationale Behörden drängen laut CISA-Aufzählung Admins, die Zimbra-Software zu aktualisieren. Zudem liefert die CISA eine Liste mit Hinweisen auf erfolgreiche Angriffe (Indicators of Compromise, IOC).

Aktuell haben die Entwickler Zimbra 10.1.20 veröffentlicht. Sie schließt mehrere Sicherheitslücken, teils noch ohne CVE-Einträge sowie allesamt ohne Risikoeinschätzung nach CVSS. IT-Verantwortliche sollten ihre ZCS-Instanzen auf diesen Stand bringen, um die Angriffsoberfläche zu reduzieren.

(dmk)