Russisk statlig hackergruppe utnytter null-klikks feil i Zimbra
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder.
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder.
Sårbarheten påvirker Zimbra Collaboration Suite 10.0.x før 10.0.18 og 10.1.x før 10.1.13, ble lappet i november 2025 og blir fortsatt aktivt utnyttet mot ulappede instanser.
Organisasjoner oppfordres til å oppdatere umiddelbart, bytte til Modern UI og overvåke etter indikatorer på kompromittering (IOC er) oppgitt i rådgivningen.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
juli 2026 publiserte USAs National Security Agency (NSA), Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA) og en koalisjon av internasjonale partnere en felles cybersikkerhetsrådgivning med tittelen «Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite» (TLP:CLEAR, Ver 1.0) . Rådgivningen ble medsignert av etater fra 16 land, inkludert USA, Nederland, Australia, Canada, New Zealand, Storbritannia, Tsjekkia, Danmark, Estland, Finland, Frankrike, Italia, Moldova, Polen, Spania og Sverige .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Russisk statlig hackergruppe utnytter null-klikks feil i Zimbra"?
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder.
What are the key points to validate first?
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder. Sårbarheten påvirker Zimbra Collaboration Suite 10.0.x før 10.0.18 og 10.1.x før 10.1.13, ble lappet i november 2025 og blir fortsatt aktivt utnyttet mot ulappede instanser.
What should I do next in practice?
Organisasjoner oppfordres til å oppdatere umiddelbart, bytte til Modern UI og overvåke etter indikatorer på kompromittering (IOC er) oppgitt i rådgivningen.
Russisk statlig hackergruppe utnytter null-klikks feil i Zimbra
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder.
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder.
Sårbarheten påvirker Zimbra Collaboration Suite 10.0.x før 10.0.18 og 10.1.x før 10.1.13, ble lappet i november 2025 og blir fortsatt aktivt utnyttet mot ulappede instanser.
Organisasjoner oppfordres til å oppdatere umiddelbart, bytte til Modern UI og overvåke etter indikatorer på kompromittering (IOC er) oppgitt i rådgivningen.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
juli 2026 publiserte USAs National Security Agency (NSA), Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA) og en koalisjon av internasjonale partnere en felles cybersikkerhetsrådgivning med tittelen «Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite» (TLP:CLEAR, Ver 1.0) . Rådgivningen ble medsignert av etater fra 16 land, inkludert USA, Nederland, Australia, Canada, New Zealand, Storbritannia, Tsjekkia, Danmark, Estland, Finland, Frankrike, Italia, Moldova, Polen, Spania og Sverige .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Russisk statlig hackergruppe utnytter null-klikks feil i Zimbra"?
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder.
What are the key points to validate first?
23. juli 2026 advarte NSA, FBI, CISA og 16 partnerland om at russiske LAUNDRY BEAR utnyttet CVE 2025 66376, en null klikks lagret XSS i Zimbra Collaboration Suite, for å stjele e post og 2FA koder. Sårbarheten påvirker Zimbra Collaboration Suite 10.0.x før 10.0.18 og 10.1.x før 10.1.13, ble lappet i november 2025 og blir fortsatt aktivt utnyttet mot ulappede instanser.
What should I do next in practice?
Organisasjoner oppfordres til å oppdatere umiddelbart, bytte til Modern UI og overvåke etter indikatorer på kompromittering (IOC er) oppgitt i rådgivningen.
Den russiske statlig støttede APT-gruppen spores som LAUNDRY BEAR, et navn opprinnelig gitt av nederlandske AIVD og MIVD . Trusselaktiviteten har pågått siden minst juli 2025 . Gruppens målretting vurderes som spionasje for Den russiske føderasjon, med «omfattende målretting av Ukraina, før bruk mot USA og andre NATO-allierte» – Ukraina ble brukt som en «testbenk for ondsinnede cyberteknikker før bredere global utrulling» . Sektorer som er kompromittert inkluderer forsvar, utdanning, energi, politi, media, finans, transport og teknologi.
Sårbarheten: CVE-2025-66376
CVE-2025-66376 er en lagret cross-site scripting (XSS)-sårbarhet i Zimbra Collaboration Suite (ZCS) Classic UI, forårsaket av misbruk av CSS @import-direktiver i HTML-e-postmeldinger . Den påvirker ZCS 10.0.x før 10.0.18 og 10.1.x før 10.1.13. Sårbarheten ble lappet av Zimbra i november 2025. CVSS-poengsummen rapporteres som 7,2 (Høy) av noen kilder eller 6,1 (Medium) av andre . CISA la den til i sin katalog over kjente utnyttede sårbarheter i mars 2026 .
Null-klikks utnyttelsesmekanisme
Dette er en null-klikks / visningsbasert utnyttelse: ingen brukerinteraksjon utover å åpne (vise) en ondsinnet e-post er nødvendig – ingen klikking på lenker eller åpning av vedlegg . Når den er utløst, leveres en tilpasset JavaScript-nyttelast til offerets nettleser via den lagrede XSS .
Hvilke data blir stjålet
Utnyttelsen målretter :
Siste 90 dagers e-postkommunikasjon
Organisasjonens e-postkatalog (Global Address List / GAL)
Kontopassord (via høsting fra nettleserens autofullføring)
2FA-reservekoder og nylig opprettede applikasjonspassord
Søkehistorikk og sesjonstokener
Tilpasset kapasitet: «beehive»
Gruppens tilpassede dataeksfiltrasjons- og aggregeringskapasitet kalles «beehive». Tjenestemenn advarte om at gruppen sannsynligvis kunne tilpasse og gjenbruke denne kapasiteten til å utnytte andre sårbarheter . Rådgivningen detaljerer en flertrinns eksfiltrasjonsarkitektur som bruker både HTTPS og DNS-tunnelering (via et verktøy kalt «Ulej» med en «Flowerbed»-serverkomponent), med DNS-spørringer strukturert i henhold til RFC 1035 og base32-kodede nyttelaster .
Anbefalte tiltak for organisasjoner
Rådgivningen oppfordrer organisasjoner til å :
Oppdatere Zimbra — Oppgrader til ZCS 10.0.18 / 10.1.13 eller nyere umiddelbart.
Gå gjennom indikatorer på kompromittering (IOC-er) — Oppgitt i rådgivningen for å oppdage utnyttelse.
Overvåke for mistenkelig autentiseringsaktivitet — Inkludert uvanlige SOAP-forespørsler, nye applikasjonspassord og DNS-eksfiltrasjonsmønstre.
Unngå å bruke den klassiske webmail-klienten hvis oppdatering ikke er mulig (bytt til Modern UI som ikke påvirkes av denne sårbarheten).
Implementere ytterligere tiltak, inkludert nettverksovervåking og gjennomgang av MFA.
Viktige forbehold
Sårbarheten ble utnyttet som en null-dagers i omtrent fem måneder (juli–november 2025) før lapper ble utgitt, og gruppen fortsetter å aktivt utnytte ulappede instanser. Rådgivningen vurderer aktiviteten som «nesten helt sikkert» russisk statlig støttet spionasje – ingen økonomisk utpressingsmotiv ble noen gang observert .
Den russiske statlig støttede APT-gruppen spores som LAUNDRY BEAR, et navn opprinnelig gitt av nederlandske AIVD og MIVD . Trusselaktiviteten har pågått siden minst juli 2025 . Gruppens målretting vurderes som spionasje for Den russiske føderasjon, med «omfattende målretting av Ukraina, før bruk mot USA og andre NATO-allierte» – Ukraina ble brukt som en «testbenk for ondsinnede cyberteknikker før bredere global utrulling» . Sektorer som er kompromittert inkluderer forsvar, utdanning, energi, politi, media, finans, transport og teknologi.
Sårbarheten: CVE-2025-66376
CVE-2025-66376 er en lagret cross-site scripting (XSS)-sårbarhet i Zimbra Collaboration Suite (ZCS) Classic UI, forårsaket av misbruk av CSS @import-direktiver i HTML-e-postmeldinger . Den påvirker ZCS 10.0.x før 10.0.18 og 10.1.x før 10.1.13. Sårbarheten ble lappet av Zimbra i november 2025. CVSS-poengsummen rapporteres som 7,2 (Høy) av noen kilder eller 6,1 (Medium) av andre . CISA la den til i sin katalog over kjente utnyttede sårbarheter i mars 2026 .
Null-klikks utnyttelsesmekanisme
Dette er en null-klikks / visningsbasert utnyttelse: ingen brukerinteraksjon utover å åpne (vise) en ondsinnet e-post er nødvendig – ingen klikking på lenker eller åpning av vedlegg . Når den er utløst, leveres en tilpasset JavaScript-nyttelast til offerets nettleser via den lagrede XSS .
Hvilke data blir stjålet
Utnyttelsen målretter :
Siste 90 dagers e-postkommunikasjon
Organisasjonens e-postkatalog (Global Address List / GAL)
Kontopassord (via høsting fra nettleserens autofullføring)
2FA-reservekoder og nylig opprettede applikasjonspassord
Søkehistorikk og sesjonstokener
Tilpasset kapasitet: «beehive»
Gruppens tilpassede dataeksfiltrasjons- og aggregeringskapasitet kalles «beehive». Tjenestemenn advarte om at gruppen sannsynligvis kunne tilpasse og gjenbruke denne kapasiteten til å utnytte andre sårbarheter . Rådgivningen detaljerer en flertrinns eksfiltrasjonsarkitektur som bruker både HTTPS og DNS-tunnelering (via et verktøy kalt «Ulej» med en «Flowerbed»-serverkomponent), med DNS-spørringer strukturert i henhold til RFC 1035 og base32-kodede nyttelaster .
Anbefalte tiltak for organisasjoner
Rådgivningen oppfordrer organisasjoner til å :
Oppdatere Zimbra — Oppgrader til ZCS 10.0.18 / 10.1.13 eller nyere umiddelbart.
Gå gjennom indikatorer på kompromittering (IOC-er) — Oppgitt i rådgivningen for å oppdage utnyttelse.
Overvåke for mistenkelig autentiseringsaktivitet — Inkludert uvanlige SOAP-forespørsler, nye applikasjonspassord og DNS-eksfiltrasjonsmønstre.
Unngå å bruke den klassiske webmail-klienten hvis oppdatering ikke er mulig (bytt til Modern UI som ikke påvirkes av denne sårbarheten).
Implementere ytterligere tiltak, inkludert nettverksovervåking og gjennomgang av MFA.
Viktige forbehold
Sårbarheten ble utnyttet som en null-dagers i omtrent fem måneder (juli–november 2025) før lapper ble utgitt, og gruppen fortsetter å aktivt utnytte ulappede instanser. Rådgivningen vurderer aktiviteten som «nesten helt sikkert» russisk statlig støttet spionasje – ingen økonomisk utpressingsmotiv ble noen gang observert .
