LAUNDRY BEAR und CVE-2025-66376: Der Zero-Click-Zimbra-Exploit, der E-Mails und 2FA-Codes stiehlt
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite.
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite.
Die Schwachstelle betrifft Zimbra 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13, wurde im November 2025 gepatcht und wird weiterhin gegen ungepatchte Installationen aktiv ausgenutzt.
Organisationen sollten sofort patchen, auf die Modern UI umsteigen und auf die in der Warnung genannten Indikatoren für eine Kompromittierung (IOCs) achten.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
Am 23. Juli 2026 veröffentlichten die US-amerikanische National Security Agency (NSA), das Federal Bureau of Investigation (FBI), die Cybersecurity and Infrastructure Security Agency (CISA) sowie eine Koalition internationaler Partner eine gemeinsame Cybersicherheitswarnung mit dem Titel „Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite" (TLP:CLEAR, Version 1.0). Die Warnung wurde von Behörden aus 16 Ländern mitgetragen, darunter die USA, Niederlande, Australien, Kanada, Neuseeland, Großbritannien, Tschechien, Dänemark, Estland, Finnland, Frankreich, Italien, Moldau, Polen, Spanien und Schweden .
Die Bedrohungsgruppe: LAUNDRY BEAR
Die russische, staatlich gesteuerte APT-Gruppe wird unter dem Namen LAUNDRY BEAR geführt – ein Name, der ursprünglich vom niederländischen AIVD und MIVD geprägt wurde . Die Bedrohungsaktivitäten laufen mindestens seit Juli 2025 . Die Gruppe wird der Spionage für die Russische Föderation zugeordnet. Bemerkenswert ist die „umfangreiche Ausrichtung auf die Ukraine, bevor sie gegen die USA und andere NATO-Verbündete eingesetzt wurde" – die Ukraine diente als „Testfeld für böswillige Cyber-Techniken vor einer breiteren globalen Bereitstellung" . Betroffene Sektoren sind .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „LAUNDRY BEAR und CVE-2025-66376: Der Zero-Click-Zimbra-Exploit, der E-Mails und 2FA-Codes stiehlt“?
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite. Die Schwachstelle betrifft Zimbra 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13, wurde im November 2025 gepatcht und wird weiterhin gegen ungepatchte Installationen aktiv ausgenutzt.
Was soll ich als nächstes in der Praxis tun?
Organisationen sollten sofort patchen, auf die Modern UI umsteigen und auf die in der Warnung genannten Indikatoren für eine Kompromittierung (IOCs) achten.
LAUNDRY BEAR und CVE-2025-66376: Der Zero-Click-Zimbra-Exploit, der E-Mails und 2FA-Codes stiehlt
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite.
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite.
Die Schwachstelle betrifft Zimbra 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13, wurde im November 2025 gepatcht und wird weiterhin gegen ungepatchte Installationen aktiv ausgenutzt.
Organisationen sollten sofort patchen, auf die Modern UI umsteigen und auf die in der Warnung genannten Indikatoren für eine Kompromittierung (IOCs) achten.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
Am 23. Juli 2026 veröffentlichten die US-amerikanische National Security Agency (NSA), das Federal Bureau of Investigation (FBI), die Cybersecurity and Infrastructure Security Agency (CISA) sowie eine Koalition internationaler Partner eine gemeinsame Cybersicherheitswarnung mit dem Titel „Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite" (TLP:CLEAR, Version 1.0). Die Warnung wurde von Behörden aus 16 Ländern mitgetragen, darunter die USA, Niederlande, Australien, Kanada, Neuseeland, Großbritannien, Tschechien, Dänemark, Estland, Finnland, Frankreich, Italien, Moldau, Polen, Spanien und Schweden .
Die Bedrohungsgruppe: LAUNDRY BEAR
Die russische, staatlich gesteuerte APT-Gruppe wird unter dem Namen LAUNDRY BEAR geführt – ein Name, der ursprünglich vom niederländischen AIVD und MIVD geprägt wurde . Die Bedrohungsaktivitäten laufen mindestens seit Juli 2025 . Die Gruppe wird der Spionage für die Russische Föderation zugeordnet. Bemerkenswert ist die „umfangreiche Ausrichtung auf die Ukraine, bevor sie gegen die USA und andere NATO-Verbündete eingesetzt wurde" – die Ukraine diente als „Testfeld für böswillige Cyber-Techniken vor einer breiteren globalen Bereitstellung" . Betroffene Sektoren sind .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „LAUNDRY BEAR und CVE-2025-66376: Der Zero-Click-Zimbra-Exploit, der E-Mails und 2FA-Codes stiehlt“?
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 23. Juli 2026 veröffentlichten NSA, FBI, CISA und 16 Partnerstaaten eine gemeinsame Warnung: Die russische Gruppe LAUNDRY BEAR nutzt CVE 2025 66376 aus – eine Zero Click Stored XSS in Zimbra Collaboration Suite. Die Schwachstelle betrifft Zimbra 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13, wurde im November 2025 gepatcht und wird weiterhin gegen ungepatchte Installationen aktiv ausgenutzt.
Was soll ich als nächstes in der Praxis tun?
Organisationen sollten sofort patchen, auf die Modern UI umsteigen und auf die in der Warnung genannten Indikatoren für eine Kompromittierung (IOCs) achten.
Verteidigung, Bildung, Energie, Strafverfolgung, Medien, Finanzen, Transport und Technologie
Die Schwachstelle: CVE-2025-66376
Bei CVE-2025-66376 handelt es sich um eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in der Classic UI von Zimbra Collaboration Suite (ZCS). Ausgelöst wird sie durch den Missbrauch von CSS-@import-Direktiven in HTML-E-Mail-Nachrichten . Die Sicherheitslücke betrifft ZCS 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13. Der Fehler wurde von Zimbra im November 2025 behoben . Der CVSS-Score wird von einigen Quellen mit 7,2 (Hoch) und von anderen mit 6,1 (Mittel) angegeben . CISA nahm die Schwachstelle im März 2026 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) auf .
Zero-Click-Exploit-Mechanismus
Dies ist ein Zero-Click- / View-basierter Exploit: Es ist keine Benutzerinteraktion über das Öffnen (Betrachten) einer schädlichen E-Mail hinaus erforderlich – es müssen keine Links angeklickt oder Anhänge geöffnet werden . Sobald der Exploit ausgelöst wird, liefert ein benutzerdefiniertes JavaScript-Payload über die gespeicherte XSS an den Browser des Opfers .
Welche Daten gestohlen werden
Der Exploit zielt auf folgende Daten ab :
Die letzten 90 Tage der E-Mail-Kommunikation
Das organisationsweite E-Mail-Verzeichnis (Global Address List / GAL)
Account-Passwörter (durch Ernten der Browser-Autovervollständigung)
2FA-Scratch-Codes und neu erstellte Anwendungspasswörter
Suchverlauf und Sitzungstoken
Eigenentwicklung: „beehive"
Die Gruppe nutzt eine eigene Fähigkeit zur Datenerfassung und -aggregation namens „beehive". Beamte warnten, dass die Gruppe diese Fähigkeit wahrscheinlich anpassen und wiederverwenden könnte, um andere Schwachstellen auszunutzen . Die Warnung beschreibt eine mehrstufige Exfiltrationsarchitektur, die sowohl HTTPS als auch DNS-Tunneling (mit einem Tool namens „Ulej" und einer Serverkomponente namens „Flowerbed") verwendet. Die DNS-Abfragen sind gemäß RFC 1035 strukturiert und die Payloads sind base32-kodiert .
Empfohlene Maßnahmen für Organisationen
Die Cybersicherheitsbehörden fordern Organisationen dringend auf :
Zimbra patchen – Sofort auf ZCS 10.0.18 / 10.1.13 oder höher aktualisieren.
Indikatoren für eine Kompromittierung (IOCs) prüfen – Die Warnung enthält eine Liste zur Erkennung von Angriffen.
Verdächtige Authentifizierungsaktivitäten überwachen – Achten Sie auf ungewöhnliche SOAP-Anfragen, neue Anwendungspasswörter und DNS-Exfiltrationsmuster.
Die Classic-Webmail-Oberfläche vermeiden, falls ein Patch nicht möglich ist (wechseln Sie zur Modern UI, die von dieser Schwachstelle nicht betroffen ist).
Zusätzliche Maßnahmen wie Netzwerküberwachung und Überprüfung der Multi-Faktor-Authentifizierung (MFA) implementieren.
Wichtige Hinweise
Die Schwachstelle wurde etwa fünf Monate lang als Zero-Day ausgenutzt (Juli bis November 2025), bevor Patches veröffentlicht wurden. Die Gruppe nutzt weiterhin aktiv ungepatchte Installationen aus. Die Warnung stuft die Aktivität als „so gut wie sicher" staatlich gelenkte russische Spionage ein – ein finanzielles Erpressungsmotiv wurde nie beobachtet .
Verteidigung, Bildung, Energie, Strafverfolgung, Medien, Finanzen, Transport und Technologie
Die Schwachstelle: CVE-2025-66376
Bei CVE-2025-66376 handelt es sich um eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in der Classic UI von Zimbra Collaboration Suite (ZCS). Ausgelöst wird sie durch den Missbrauch von CSS-@import-Direktiven in HTML-E-Mail-Nachrichten . Die Sicherheitslücke betrifft ZCS 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13. Der Fehler wurde von Zimbra im November 2025 behoben . Der CVSS-Score wird von einigen Quellen mit 7,2 (Hoch) und von anderen mit 6,1 (Mittel) angegeben . CISA nahm die Schwachstelle im März 2026 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) auf .
Zero-Click-Exploit-Mechanismus
Dies ist ein Zero-Click- / View-basierter Exploit: Es ist keine Benutzerinteraktion über das Öffnen (Betrachten) einer schädlichen E-Mail hinaus erforderlich – es müssen keine Links angeklickt oder Anhänge geöffnet werden . Sobald der Exploit ausgelöst wird, liefert ein benutzerdefiniertes JavaScript-Payload über die gespeicherte XSS an den Browser des Opfers .
Welche Daten gestohlen werden
Der Exploit zielt auf folgende Daten ab :
Die letzten 90 Tage der E-Mail-Kommunikation
Das organisationsweite E-Mail-Verzeichnis (Global Address List / GAL)
Account-Passwörter (durch Ernten der Browser-Autovervollständigung)
2FA-Scratch-Codes und neu erstellte Anwendungspasswörter
Suchverlauf und Sitzungstoken
Eigenentwicklung: „beehive"
Die Gruppe nutzt eine eigene Fähigkeit zur Datenerfassung und -aggregation namens „beehive". Beamte warnten, dass die Gruppe diese Fähigkeit wahrscheinlich anpassen und wiederverwenden könnte, um andere Schwachstellen auszunutzen . Die Warnung beschreibt eine mehrstufige Exfiltrationsarchitektur, die sowohl HTTPS als auch DNS-Tunneling (mit einem Tool namens „Ulej" und einer Serverkomponente namens „Flowerbed") verwendet. Die DNS-Abfragen sind gemäß RFC 1035 strukturiert und die Payloads sind base32-kodiert .
Empfohlene Maßnahmen für Organisationen
Die Cybersicherheitsbehörden fordern Organisationen dringend auf :
Zimbra patchen – Sofort auf ZCS 10.0.18 / 10.1.13 oder höher aktualisieren.
Indikatoren für eine Kompromittierung (IOCs) prüfen – Die Warnung enthält eine Liste zur Erkennung von Angriffen.
Verdächtige Authentifizierungsaktivitäten überwachen – Achten Sie auf ungewöhnliche SOAP-Anfragen, neue Anwendungspasswörter und DNS-Exfiltrationsmuster.
Die Classic-Webmail-Oberfläche vermeiden, falls ein Patch nicht möglich ist (wechseln Sie zur Modern UI, die von dieser Schwachstelle nicht betroffen ist).
Zusätzliche Maßnahmen wie Netzwerküberwachung und Überprüfung der Multi-Faktor-Authentifizierung (MFA) implementieren.
Wichtige Hinweise
Die Schwachstelle wurde etwa fünf Monate lang als Zero-Day ausgenutzt (Juli bis November 2025), bevor Patches veröffentlicht wurden. Die Gruppe nutzt weiterhin aktiv ungepatchte Installationen aus. Die Warnung stuft die Aktivität als „so gut wie sicher" staatlich gelenkte russische Spionage ein – ein finanzielles Erpressungsmotiv wurde nie beobachtet .
