2026年7月23日、CISA・NSA・FBIは十数か国の同盟機関と共同で警告を発した。珍しく内容はシンプルだ：自前でZimbraメールサーバーを運用していてパッチが当たっていないなら、ロシアのスパイがすでにあなたのメールを読んでいると思ったほうがいい！！
問題のグループは「Laundry Bear」（Microsoftでは「Void Blizzard」、Proofpointでは「TA488」とも呼ばれる）。ロシア国家と関係しており、2025年7月から既知のZimbra脆弱性を悪用している。
該当する脆弱性はCVE-2025-66376だ。Zimbra CollaborationのレガシーClassicインターフェースに存在するストアドXSSで、細工されたHTMLメール内に隠された@import CSSディレクティブによってトリガーされる。厄介なのは、リンクをクリックしなくても感染する点だ。メールを開いた瞬間にJavaScriptが自動実行される。NVDはこの脆弱性を6.1（操作が必要）と評価しているが、MITREは7.2（操作不要）に引き上げている。
Laundry Bearが盗み出すものは相当ヤバい。侵入に成功すると、過去90日分のメール、アカウントのIDとパスワード、組織の全アドレス帳（Global Address List）、さらには2FAトークンと回復コードまで根こそぎ持っていく。つまり、二段階認証すら無力化されるわけだ。グループはこのために「Ulej」（Улей、ロシア語で「蜂の巣」の意）という専用ツールまで自作しており、DNSとHTTPSのクエリを使ってこっそりアーカイブを外部へ送り出す。
Zimbraは2025年11月6日にバージョン10.0.18および10.1.13でこの脆弱性を修正している。つまりパッチが出てからもう8か月が経つ。ただし、この攻撃キャンペーン自体は2025年7月–パッチリリースの4か月前–からゼロデイとして稼働していた。結果として、一度も更新されていないサーバーと、パッチ適用前に侵害されたサーバーが混在し、収拾がつかない状況になっている。CISAはこのCVEを「積極的に悪用されている脆弱性」として既知悪用脆弱性カタログ（KEV）に登録した。米国の共同勧告に被害者数の記載はないが、標的のラインナップは背筋が寒くなる。ウクライナが最前線にいるのは想像に難くなく、その他にも複数の政府機関やNATO加盟国の防衛・エネルギーセクターが含まれている。
対象となる方–GmailやOutlookユーザーではなく、自前でZimbraを運用している管理者に向けた話だ^^–の対応手順はシンプルだ。まず今すぐ10.0.18または10.1.13以降にアップデートする。そして、何か月もパッチが当たっていないサーバーはすでに侵害されている可能性が高いと考えること。全パスワードのリセット、アクティブセッションの無効化、2FAコードの再生成は必須だ。さらにログを精査してCreateAppSpecificPasswordRequestコマンドや”ZimbraWeb”という文字列が残っていないか確認しよう。これらがLaundry Bearの痕跡だ。
メールクライアント経由の攻撃は、ロシア系APTの十八番になりつつある。
以前、APT28がNotDoorを使ってOutlookをバックドア化した件を紹介した [FR]
し、最近では
ロシアのスパイがSignalで罠にはまった話
もあった。メールシステムは組織の金庫も同然で、それを彼らはよく分かっている。
というわけで、インフラのどこかにZimbraが転がっているなら、このページを読むのをやめて今すぐパッチを当てに行ってほしい！
ソース
この記事にはAIで生成された画像が含まれている場合があります。どの記事にも細心の注意を払っていますが、もし間違いを見つけたら、ぜひ教えてくださいね!