Spreparowana wiadomość HTML z dyrektywą CSS @import uruchamia skrypt w klasycznym interfejsie Zimbry. CISA potwierdza ataki, obejścia brak. Zaktualizuj Zimbrę do 10.0.18 lub 10.1.13 i sprawdź przekierowania.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własny serwer poczty Zimbra Collaboration (ZCS) lub korzystają z niego u dostawcy. Werdykt: jeśli Zimbra działa w wersji starszej niż 10.0.18 lub 10.1.13, zaktualizuj ją pilnie, bo samo otwarcie spreparowanej wiadomości w klasycznym interfejsie może uruchomić cudzy skrypt, a CISA potwierdza ataki.
Amerykańska agencja CISA 18 marca 2026 roku dopisała CVE-2025-66376 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd to trwały XSS w klasycznym interfejsie webowym Zimbry (Classic UI). Napastnik wysyła wiadomość HTML z arkuszem stylów zawierającym dyrektywę @import, filtr jej nie zatrzymuje, a po otwarciu wiadomości w przeglądarce ofiary wykonuje się kod napastnika.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 1 kwietnia 2026 roku, ponad pięć miesięcy temu. Ocena punktowa jest średnia lub wysoka, zależnie od źródła, ale wpis do KEV oznacza, że to nie jest luka „na kiedyś”.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-66376 |
Data dodania do CISA KEV | 2026-03-18 |
Termin naprawy wg CISA | 2026-04-01 (14 dni od wpisu) |
Produkt | Synacor Zimbra Collaboration Suite (ZCS), klasyczny interfejs webowy poczty (Classic UI) |
Wersje zagrożone | Linia 10.0 poniżej 10.0.18 oraz linia 10.1 poniżej 10.1.13. Opis wskazuje Classic UI; brak publicznych informacji, czy Modern UI jest wolny od błędu. Producent oznaczył wersje spoza tych przedziałów jako niepodatne |
Wersje bezpieczne | 10.0.18 i 10.1.13 oraz nowsze (daty wydania nie zostały ustalone) |
Typ podatności | Trwały XSS (stored cross-site scripting) przez dyrektywy CSS |
Ocena CVSS | NVD: 6.1 ŚREDNIA (CVSS 3.1, wymaga działania użytkownika). MITRE: 7.2 WYSOKA (CVSS 3.1, bez działania użytkownika). Obie: atak przez sieć, bez konta w atakowanym systemie, skutki wychodzą poza serwer do przeglądarki ofiary, niski wpływ na poufność i integralność |
Wyobraź sobie sekretariat, w którym ktoś sprawdza każdą przychodzącą kopertę pod kątem niebezpiecznej zawartości. Sprawdza list, ale nie zwraca uwagi na dopisek na marginesie: „dalszy ciąg instrukcji odbierz pod tym adresem”. Adresat otwiera kopertę, sięga po dalszy ciąg i wykonuje polecenia, których kontrola nigdy nie widziała.
Tak działa ta luka. Wiadomość HTML może zawierać style, czyli opis wyglądu. Dyrektywa @import w stylach mówi przeglądarce: wczytaj dalszą część z innego miejsca. Filtr Zimbry skupiał się na oczywistych zagrożeniach, a blok stylów wyglądał niewinnie. Po otwarciu wiadomości w Classic UI w przeglądarce pracownika uruchamia się kod napastnika, działający w ramach jego zalogowanej sesji poczty.
💡 XSS (cross-site scripting) to wstrzyknięcie skryptu, który wykonuje się w przeglądarce innej osoby. Trwały XSS oznacza, że złośliwa treść jest zapisana w systemie (tu: w skrzynce) i czeka na otwarcie, bez klikania w podejrzany link. CSS to język opisu wyglądu stron i wiadomości HTML. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera wiadomość HTML | Widzi sformatowany tekst | W tle wykonuje się skrypt napastnika |
Sesja zalogowanego użytkownika | Dostępna tylko dla niego | Skrypt działa z jego uprawnieniami w poczcie |
Treść skrzynki | Widoczna tylko dla właściciela | Skrypt może ją odczytać i przesłać dalej |
Ustawienia skrzynki (np. przekierowania) | Zmienia je tylko użytkownik | Mogą zostać zmienione bez jego wiedzy |
Filtr treści wiadomości | Zatrzymuje skrypty w HTML | Nie wychwytuje zawartości wczytywanej przez |
źródło: Pexels, HarunPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik nie potrzebuje konta na atakowanym serwerze, wystarczy mu adres e-mail ofiary, ale ofiara musi otworzyć wiadomość w klasycznym interfejsie webowym. CISA ocenia atak jako niemożliwy do pełnej automatyzacji, więc zwykle są to kampanie wymierzone w wybrane osoby.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Ustalenie, że organizacja używa Zimbry, i wybór adresatów (zarząd, księgowość, administracja) | Lista adresów |
2. Wysyłka | T+minuty | Wysłanie wiadomości HTML ze stylami zawierającymi | Wiadomość czeka w skrzynce |
3. Otwarcie | T+godziny do dni | Pracownik otwiera wiadomość w Classic UI | Skrypt uruchamia się w jego sesji |
4. Przejęcie skrzynki | T+sekundy od otwarcia | Odczyt wiadomości, kontaktów, ustawienie przekierowania lub kradzież sesji | Dostęp do korespondencji |
5. Wykorzystanie | T+dni do tygodni | Wysyłka wiarygodnych wiadomości z przejętej skrzynki, podmiana numerów kont, wyłudzenia | Straty finansowe, kolejne ofiary |
Poczta to miejsce, gdzie firma zatwierdza przelewy, wymienia umowy i dane klientów. Luka nie daje przejęcia serwera, ale daje dostęp do skrzynek, a czytanie poczty to czynność, którą pracownik wykonuje dziesiątki razy dziennie bez zastanowienia. Nie potwierdzono żadnego obejścia tymczasowego, więc jedyną skuteczną ochroną jest aktualizacja.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokowanie i czyszczenie przejętych skrzynek, reset haseł i sesji | Dni | 10 tys. do 60 tys. PLN (praca IT, przestoje) |
Bezpieczeństwo danych | Wyciek korespondencji, umów, danych klientów i pracowników | Od chwili otwarcia wiadomości | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Wyłudzenia przelewów przez podmianę numerów kont, koszty specjalistów | Dni do tygodni | 50 tys. do 500 tys. PLN (zależnie od wartości wyłudzonych przelewów) |
Reputacyjny | Wiadomości od napastnika wysyłane z firmowych adresów do klientów i partnerów | Tygodnie | 20 tys. do 200 tys. PLN (utracone zaufanie, kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: Zimbra bez poprawki, użytkownicy na Classic UI
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ techniczny jest częściowy (przejęcie skrzynki, a nie serwera), dlatego nie stawiamy go na maksimum, ale potwierdzone ataki i codzienne otwieranie poczty czynią prawdopodobieństwo wysokim, a skutki finansowe wyłudzeń bywają dotkliwe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję Zimbry (własny serwer lub u dostawcy usług pocztowych) | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Zaktualizować do 10.0.18 lub 10.1.13 (albo nowszej) | Dziś lub w najbliższym oknie serwisowym | Administrator poczty / dostawca |
3 | 🟠 PILNIE | Sprawdzić reguły przekierowania i filtry we wszystkich skrzynkach, zwłaszcza zarządu i księgowości | Do 2 dni | Administrator poczty |
4 | 🟠 PILNIE | Przejrzeć logi logowań i aktywnych sesji pod kątem nietypowych adresów od marca 2026 roku | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wprowadzić lub przypomnieć zasadę telefonicznego potwierdzania zmian numerów kont bankowych | Do 3 dni | CFO |
6 | 🟡 WAŻNIE | Ustalić, ilu użytkowników korzysta z Classic UI i zaplanować harmonogram aktualizacji poczty | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przeszkolić pracowników z rozpoznawania podejrzanych wiadomości i zgłaszania nietypowych zmian w skrzynce | Do 30 dni | CTO / HR |
Producent wydał poprawki w wersjach 10.0.18 i 10.1.13. Żadne ze źródeł nie wskazuje oficjalnego obejścia, a przełączenie użytkowników na Modern UI nie jest potwierdzonym rozwiązaniem. Poniższe miary tylko ograniczają skutki; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Filtrowanie na bramce pocztowej wiadomości HTML ze stylami zawierającymi | Średnia: zależy od możliwości bramki, może dawać fałszywe alarmy | Średnia |
Włączenie uwierzytelniania wieloskładnikowego i skrócenie czasu sesji | Niska do średniej: nie blokuje skryptu, ogranicza wykorzystanie skradzionej sesji | Średnia |
Regularny przegląd reguł przekierowania w skrzynkach | Niska jako ochrona, pomocna w wykryciu | Łatwa |
Procedura potwierdzania zmian numerów kont telefonicznie | Wysoka wobec wyłudzeń przelewów | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Otwarcie wiadomości HTML | Może uruchomić skrypt napastnika | Filtr w wersji z poprawką blokuje wektor |
Reguły przekierowania | Nikt ich nie sprawdzał | Przejrzane we wszystkich skrzynkach |
Przelewy na nowe numery kont | Realizowane na podstawie e-maila | Potwierdzane telefonicznie |
Wiedza o incydencie | Brak przeglądu logowań | Logi przejrzane od marca 2026 roku |
Zgodność z terminem CISA | Ponad 5 miesięcy zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji; nie potwierdzono, kto wykorzystywał lukę |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.1 ŚREDNIA wg NVD; 7.2 WYSOKA wg MITRE (obie CVSS 3.1, różnią się tylko wymogiem działania użytkownika); baza europejska EUVD-2026-0850 przyjmuje 7.2 |
PoC dostępny publicznie? | Brak publicznych informacji; szczegóły obejścia filtra nie są publicznie potwierdzone |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA (SSVC) | Wykorzystanie aktywne, atak niezautomatyzowany, skutek techniczny częściowy |
Prognoza EPSS | Około 22% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 97% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-66376
CVSS 3.1 (MITRE) 7.2/10 ██████████████░░░░░░ WYSOKA
CVSS 3.1 (NVD) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~22% ████░░░░░░░░░░░░░░░░ wyżej niż 97% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-01-05 Publikacja CVE-2025-66376 w NVD (poprawki w 10.0.18
i 10.1.13, daty wydań nieustalone)
2026-03-17 CISA ocenia wykorzystanie jako aktywne (SSVC)
2026-03-18 CISA dodaje lukę do katalogu KEV
2026-04-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyny bezpieczeństwa producenta: wiki.zimbra.com, Zimbra Security Advisories . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-66376 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firmowa poczta działa na Zimbrze (własny serwer lub dostawca) | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji i dacie aktualizacji do 10.0.18 lub 10.1.13 | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację w najbliższym możliwym oknie | CTO | DZISIAJ |
4 | Zlecić przegląd reguł przekierowania w skrzynkach zarządu i księgowości | CTO | DO JUTRA |
5 | Przypomnieć księgowości zasadę telefonicznego potwierdzania zmian rachunków bankowych | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z dostawcą poczty określa termin wdrażania poprawek bezpieczeństwa | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące wyłudzeń przez e-mail | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja naszej Zimbry? | [wersja] | 🔴 |
2 | Kiedy zainstalowano 10.0.18 lub 10.1.13? | [data] | 🔴 |
3 | Czy użytkownicy mogą korzystać z Classic UI, i ilu z nich to robi? | TAK / NIE, [liczba] | 🔴 |
4 | Czy sprawdzono reguły przekierowania i filtry w skrzynkach od marca 2026 roku? | TAK / NIE, [data] | 🟠 |
5 | Czy logowania do poczty są chronione uwierzytelnianiem wieloskładnikowym? | TAK / NIE | 🟠 |
6 | Czy bramka pocztowa potrafi filtrować niebezpieczne style w wiadomościach HTML? | TAK / NIE | 🟠 |
7 | Jak długo przechowujemy logi logowań do poczty? | [liczba dni] | 🟡 |
CVE-2025-66376 pozwala napastnikowi uruchomić skrypt w przeglądarce pracownika, który otworzy spreparowaną wiadomość w klasycznym interfejsie Zimbry, i przejąć dostęp do jego skrzynki. CISA potwierdza ataki, a obejścia nie ma, więc aktualizacja do 10.0.18 lub 10.1.13 oraz przegląd przekierowań w skrzynkach to zadania na ten tydzień, najlepiej dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.