LAUNDRY BEAR en CVE-2025-66376: De zero-click Zimbra-exploit die e-mail en 2FA-codes steelt
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite. De kwetsbaarheid treft Zimbra Collaboration Suite 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13, werd in november 2025 gepatcht...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite.
De kwetsbaarheid treft Zimbra Collaboration Suite 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13, werd in november 2025 gepatcht en wordt nog steeds actief uitgebuit tegen ongepatchte systemen.
Organisaties wordt geadviseerd direct te patchen, over te schakelen naar de Modern UI en te controleren op indicatoren van compromittering (IOC's) uit het advies.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
Op 23 juli 2026 hebben de Amerikaanse National Security Agency (NSA), de Federal Bureau of Investigation (FBI), de Cybersecurity and Infrastructure Security Agency (CISA) en een coalitie van internationale partners een gezamenlijk cyberbeveiligingsadvies uitgebracht met de titel 'Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite' (TLP:CLEAR, Ver 1.0) . Het advies is medeondertekend door instanties uit 16 landen, waaronder de Verenigde Staten, Nederland, Australië, Canada, Nieuw-Zeeland, het Verenigd Koninkrijk, Tsjechië, Denemarken, Estland, Finland, Frankrijk, Italië, Moldavië, Polen, Spanje en Zweden .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "LAUNDRY BEAR en CVE-2025-66376: De zero-click Zimbra-exploit die e-mail en 2FA-codes steelt"?
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite.
What are the key points to validate first?
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite. De kwetsbaarheid treft Zimbra Collaboration Suite 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13, werd in november 2025 gepatcht en wordt nog steeds actief uitgebuit tegen ongepatchte systemen.
What should I do next in practice?
Organisaties wordt geadviseerd direct te patchen, over te schakelen naar de Modern UI en te controleren op indicatoren van compromittering (IOC's) uit het advies.
LAUNDRY BEAR en CVE-2025-66376: De zero-click Zimbra-exploit die e-mail en 2FA-codes steelt
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite. De kwetsbaarheid treft Zimbra Collaboration Suite 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13, werd in november 2025 gepatcht...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite.
De kwetsbaarheid treft Zimbra Collaboration Suite 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13, werd in november 2025 gepatcht en wordt nog steeds actief uitgebuit tegen ongepatchte systemen.
Organisaties wordt geadviseerd direct te patchen, over te schakelen naar de Modern UI en te controleren op indicatoren van compromittering (IOC's) uit het advies.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
Op 23 juli 2026 hebben de Amerikaanse National Security Agency (NSA), de Federal Bureau of Investigation (FBI), de Cybersecurity and Infrastructure Security Agency (CISA) en een coalitie van internationale partners een gezamenlijk cyberbeveiligingsadvies uitgebracht met de titel 'Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite' (TLP:CLEAR, Ver 1.0) . Het advies is medeondertekend door instanties uit 16 landen, waaronder de Verenigde Staten, Nederland, Australië, Canada, Nieuw-Zeeland, het Verenigd Koninkrijk, Tsjechië, Denemarken, Estland, Finland, Frankrijk, Italië, Moldavië, Polen, Spanje en Zweden .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "LAUNDRY BEAR en CVE-2025-66376: De zero-click Zimbra-exploit die e-mail en 2FA-codes steelt"?
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite.
What are the key points to validate first?
Op 23 juli 2026 waarschuwden de NSA, FBI, CISA en 16 partnerlanden dat de Russische staatsgroep LAUNDRY BEAR CVE 2025 66376 misbruikt – een zero click stored XSS in Zimbra Collaboration Suite. De kwetsbaarheid treft Zimbra Collaboration Suite 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13, werd in november 2025 gepatcht en wordt nog steeds actief uitgebuit tegen ongepatchte systemen.
What should I do next in practice?
Organisaties wordt geadviseerd direct te patchen, over te schakelen naar de Modern UI en te controleren op indicatoren van compromittering (IOC's) uit het advies.
De Russische staatsgesteunde APT-groep staat bekend als LAUNDRY BEAR, een naam die oorspronkelijk is bedacht door de Nederlandse AIVD en MIVD . De dreigingsactiviteit is al sinds ten minste juli 2025 gaande . De targeting van de groep wordt beoordeeld als spionage voor de Russische Federatie, met 'uitgebreide Oekraïense targeting, vóór gebruik tegen de VS en andere NAVO-bondgenoten' – Oekraïne werd gebruikt als een 'testbank voor kwaadaardige cybertechnieken vóór bredere wereldwijde inzet' . Gecompromitteerde sectoren zijn onder meer defensie, onderwijs, energie, wetshandhaving, media, financiën, transport en technologie.
De kwetsbaarheid: CVE-2025-66376
CVE-2025-66376 is een stored cross-site scripting (XSS) kwetsbaarheid in de Classic UI van de Zimbra Collaboration Suite (ZCS), veroorzaakt door misbruik van CSS @import-richtlijnen in HTML-e-mailberichten . Het treft ZCS 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13. De kwetsbaarheid werd door Zimbra gepatcht in november 2025. De CVSS-score wordt door sommige bronnen gerapporteerd als 7,2 (Hoog) en door andere als 6,1 (Medium). CISA voegde het in maart 2026 toe aan de Known Exploited Vulnerabilities Catalog .
Zero-click exploitatiemechanisme
Dit is een zero-click / view-based exploit: er is geen gebruikersinteractie nodig anders dan het openen (bekijken) van een kwaadaardige e-mail – er hoeft niet op links te worden geklikt of bijlagen te worden geopend . Eenmaal geactiveerd, wordt een aangepaste JavaScript-payload via de stored XSS aan de browser van het slachtoffer afgeleverd .
Welke gegevens worden gestolen
De exploit richt zich op :
Laatste 90 dagen aan e-mailcommunicatie
Organisatie-e-maildirectory (Global Address List / GAL)
Accountwachtwoorden (via het oogsten van browser-autocomplete)
2FA-reservecodes en nieuw aangemaakte applicatiewachtwoorden
Zoekgeschiedenis en sessietokens
Eigen mogelijkheid: 'beehive'
De eigen datadiefstal- en aggregatiemogelijkheid van de groep heet 'beehive'. Ambtenaren waarschuwden dat de groep deze mogelijkheid waarschijnlijk kan aanpassen en hergebruiken om andere kwetsbaarheden te misbruiken . Het advies beschrijft een meerfasige exfiltratie-architectuur die zowel HTTPS als DNS-tunneling gebruikt (via een tool genaamd 'Ulej' met een 'Flowerbed'-servercomponent), waarbij DNS-query's zijn gestructureerd volgens RFC 1035 en base32-gecodeerde payloads bevatten .
Aanbevolen acties voor organisaties
Het advies dringt er bij organisaties op aan om :
Zimbra te patchen – Werk onmiddellijk bij naar ZCS 10.0.18 / 10.1.13 of hoger.
Indicatoren van compromittering (IOC's) te controleren – Deze zijn in het advies opgenomen om misbruik te detecteren.
Te monitoren op verdachte authenticatieactiviteit – inclusief ongebruikelijke SOAP-verzoeken, nieuwe applicatiewachtwoorden en DNS-exfiltratiepatronen.
Het gebruik van de Classic webmailclient te vermijden als patchen niet mogelijk is (schakel over naar de Modern UI, die niet wordt getroffen door deze kwetsbaarheid).
Aanvullende mitigerende maatregelen te implementeren, waaronder netwerkmonitoring en MFA-beoordeling.
Belangrijke kanttekeningen
De kwetsbaarheid werd ongeveer vijf maanden als zero-day misbruikt (juli–november 2025) voordat patches werden uitgebracht, en de groep blijft actief ongepatchte instanties misbruiken. Het advies beoordeelt de activiteit als 'vrijwel zeker' Russische staatsgesteunde spionage – er is nooit een financieel afpersingsmotief waargenomen .
De Russische staatsgesteunde APT-groep staat bekend als LAUNDRY BEAR, een naam die oorspronkelijk is bedacht door de Nederlandse AIVD en MIVD . De dreigingsactiviteit is al sinds ten minste juli 2025 gaande . De targeting van de groep wordt beoordeeld als spionage voor de Russische Federatie, met 'uitgebreide Oekraïense targeting, vóór gebruik tegen de VS en andere NAVO-bondgenoten' – Oekraïne werd gebruikt als een 'testbank voor kwaadaardige cybertechnieken vóór bredere wereldwijde inzet' . Gecompromitteerde sectoren zijn onder meer defensie, onderwijs, energie, wetshandhaving, media, financiën, transport en technologie.
De kwetsbaarheid: CVE-2025-66376
CVE-2025-66376 is een stored cross-site scripting (XSS) kwetsbaarheid in de Classic UI van de Zimbra Collaboration Suite (ZCS), veroorzaakt door misbruik van CSS @import-richtlijnen in HTML-e-mailberichten . Het treft ZCS 10.0.x vóór 10.0.18 en 10.1.x vóór 10.1.13. De kwetsbaarheid werd door Zimbra gepatcht in november 2025. De CVSS-score wordt door sommige bronnen gerapporteerd als 7,2 (Hoog) en door andere als 6,1 (Medium). CISA voegde het in maart 2026 toe aan de Known Exploited Vulnerabilities Catalog .
Zero-click exploitatiemechanisme
Dit is een zero-click / view-based exploit: er is geen gebruikersinteractie nodig anders dan het openen (bekijken) van een kwaadaardige e-mail – er hoeft niet op links te worden geklikt of bijlagen te worden geopend . Eenmaal geactiveerd, wordt een aangepaste JavaScript-payload via de stored XSS aan de browser van het slachtoffer afgeleverd .
Welke gegevens worden gestolen
De exploit richt zich op :
Laatste 90 dagen aan e-mailcommunicatie
Organisatie-e-maildirectory (Global Address List / GAL)
Accountwachtwoorden (via het oogsten van browser-autocomplete)
2FA-reservecodes en nieuw aangemaakte applicatiewachtwoorden
Zoekgeschiedenis en sessietokens
Eigen mogelijkheid: 'beehive'
De eigen datadiefstal- en aggregatiemogelijkheid van de groep heet 'beehive'. Ambtenaren waarschuwden dat de groep deze mogelijkheid waarschijnlijk kan aanpassen en hergebruiken om andere kwetsbaarheden te misbruiken . Het advies beschrijft een meerfasige exfiltratie-architectuur die zowel HTTPS als DNS-tunneling gebruikt (via een tool genaamd 'Ulej' met een 'Flowerbed'-servercomponent), waarbij DNS-query's zijn gestructureerd volgens RFC 1035 en base32-gecodeerde payloads bevatten .
Aanbevolen acties voor organisaties
Het advies dringt er bij organisaties op aan om :
Zimbra te patchen – Werk onmiddellijk bij naar ZCS 10.0.18 / 10.1.13 of hoger.
Indicatoren van compromittering (IOC's) te controleren – Deze zijn in het advies opgenomen om misbruik te detecteren.
Te monitoren op verdachte authenticatieactiviteit – inclusief ongebruikelijke SOAP-verzoeken, nieuwe applicatiewachtwoorden en DNS-exfiltratiepatronen.
Het gebruik van de Classic webmailclient te vermijden als patchen niet mogelijk is (schakel over naar de Modern UI, die niet wordt getroffen door deze kwetsbaarheid).
Aanvullende mitigerende maatregelen te implementeren, waaronder netwerkmonitoring en MFA-beoordeling.
Belangrijke kanttekeningen
De kwetsbaarheid werd ongeveer vijf maanden als zero-day misbruikt (juli–november 2025) voordat patches werden uitgebracht, en de groep blijft actief ongepatchte instanties misbruiken. Het advies beoordeelt de activiteit als 'vrijwel zeker' Russische staatsgesteunde spionage – er is nooit een financieel afpersingsmotief waargenomen .
