Russische Angreifer missbrauchen Zero-Click-Lücke in Zimbra

Bedrohungslage durch Zero-Click-Exploits

Die Kollaborationssoftware Zimbra, die weltweit von Regierungen, Bildungseinrichtungen und Unternehmen für die Verwaltung von E-Mails und Kalendern genutzt wird, steht im Fokus einer großflächigen Spionagekampagne. Wie internationale IT-Sicherheitsbehörden berichten, nutzen russische Akteure seit mindestens Juli 2025 eine kritische Zero-Click-Schwachstelle aus, um sich unbefugten Zugriff auf sensible Daten zu verschaffen. Besonders alarmierend ist dabei die Funktionsweise der Lücke: Nutzer müssen keine bösartigen Anhänge öffnen oder auf gefährliche Links klicken. Allein das Anzeigen einer präparierten E-Mail reicht aus, um den Angriff auszulösen und den Angreifern den Zugriff auf den E-Mail-Verkehr zu ermöglichen.

Die Rolle der Gruppierung Laundry Bear

Im Zentrum der Aktivitäten steht die kriminelle Gruppierung, die unter Namen wie Laundry Bear, Void Blizzard oder TA488 bekannt ist. Den Berichten zufolge verfolgt die Gruppe das Ziel, vertrauliche Informationen für die russische Regierung zu sammeln. Während die Akteure in der Vergangenheit auf klassische Methoden wie Phishing, Password-Spraying oder den Diebstahl von Session-Cookies setzten, markiert der Einsatz der Zero-Day-Schwachstelle CVE-2025-66376 eine deutliche Professionalisierung ihrer Vorgehensweise. Diese Schwachstelle wird mit einem CVSS-Wert von 7,2 als hoch eingestuft.

Die Zielgruppen der Angriffe sind breit gefächert und umfassen neben westlichen Regierungsstellen auch den Energiesektor, Strafverfolgungsbehörden, Medienhäuser, Nichtregierungsorganisationen sowie den Technologiesektor.

Herausforderung bei der Patch-Verwaltung

Obwohl die Entwickler von Zimbra bereits im November 2025 ein Sicherheitsupdate bereitgestellt haben, bleibt die Gefahr durch veraltete Server hoch. Die Trägheit bei der Installation von Sicherheitsupdates stellt ein erhebliches Sicherheitsrisiko dar. Bereits im Januar dieses Jahres warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI), dass ein signifikanter Teil der in Deutschland betriebenen Zimbra-Instanzen entweder nicht mehr vom Hersteller unterstützt wird oder für bekannte Schwachstellen anfällig ist. Schätzungen zufolge liefen rund 40 Prozent der untersuchten Server in Deutschland auf veralteter oder unsicherer Softwarebasis.

Empfehlungen für IT-Verantwortliche

Angesichts der anhaltenden Bedrohungslage drängen Sicherheitsbehörden, darunter die US-amerikanische CISA, IT-Verantwortliche weltweit dazu, ihre Zimbra-Umgebungen umgehend zu aktualisieren. Die CISA stellt zudem Indikatoren für eine Kompromittierung (Indicators of Compromise, IOC) bereit, anhand derer Administratoren prüfen können, ob ihre Systeme bereits Ziel eines Angriffs wurden.

Mit der Veröffentlichung von Zimbra 10.1.20 steht ein aktueller Stand zur Verfügung, der mehrere Sicherheitslücken schließt. Administratoren sind angehalten, ihre Instanzen auf diesen Stand zu bringen, um die Angriffsfläche zu minimieren. Da die Angriffe auf die Schwachstelle CVE-2025-66376 bereits seit Mitte März 2026 dokumentiert sind, ist ein schnelles Handeln erforderlich, um den Abfluss sensibler Daten zu verhindern und die Integrität der IT-Infrastruktur zu wahren.