Spreparowane zaproszenie w kalendarzu uruchamia skrypt w klasycznym kliencie Zimbra i może ustawić ciche przekierowanie poczty. CISA potwierdza ataki. Zaktualizuj serwer i sprawdź filtry na wszystkich kontach.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własny serwer poczty Zimbra Collaboration Suite i korzystają z jego klasycznego interfejsu WWW. Werdykt: jeśli serwer ma wersję starszą niż 10.1.5, 10.0.13 lub 9.0.0 P44, zaktualizuj go i sprawdź filtry przekierowujące pocztę dziś, bo spreparowane zaproszenie na spotkanie pozwala po cichu kopiować korespondencję, a CISA potwierdza ataki.
Amerykańska agencja CISA 7 października 2025 roku dopisała podatność CVE-2025-27915 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w klasycznym kliencie WWW (Classic Web Client) poczty Zimbra. Wystarczy, że użytkownik otworzy wiadomość ze spreparowanym zaproszeniem w kalendarzu (plik ICS), a ukryty w nim skrypt wykonuje się w jego sesji i może np. ustawić filtr przekierowujący pocztę na adres napastnika.
Luka ma w bazach ocenę „średnią” (5.4), co mogło uśpić czujność. Między publikacją w marcu 2025 roku a wpisem do katalogu CISA minęło prawie siedem miesięcy. Termin naprawy wyznaczony agencjom federalnym minął 28 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-27915 |
Data dodania do CISA KEV | 2025-10-07 |
Termin naprawy wg CISA | 2025-10-28 |
Produkt | Zimbra Collaboration Suite (ZCS), klasyczny klient WWW; w katalogu CISA i NVD pod nazwą producenta Synacor |
Wersje zagrożone | Linia 10.1: od 10.1.0 do 10.1.4. Linia 10.0: od 10.0.0 do 10.0.12. Linia 9.0: 9.0.0 bez poprawek i z poprawkami do P43. Dotyczy użytkowników otwierających pocztę w interfejsie Classic |
Wersje bezpieczne | 10.1.5, 10.0.13 oraz 9.0.0 P44 i nowsze (wg NVD i notatek wydania producenta). Najnowszą wersję podaje producent w Security Center |
Typ podatności | Trwały cross-site scripting (XSS) przez niewystarczające oczyszczanie HTML w plikach ICS; CWE-79 |
Ocena CVSS | CISA (program uzupełniania danych w NVD): 5.4 (CVSS 3.1, ŚREDNIA). Brak oceny podstawowej NVD i producenta. Atak przez sieć, wymaga otwarcia wiadomości przez ofiarę |
Wyobraź sobie, że do sekretariatu przychodzi zaproszenie na spotkanie. Sekretarka otwiera je, żeby wpisać termin do kalendarza, a w kopercie jest też kartka z poleceniem: „od dziś kopię każdego listu do szefa wysyłaj pod ten adres”. Sekretarka wykonuje to polecenie bez pytania, bo wygląda jak zwykła instrukcja z biura, i nikomu o tym nie mówi. Szef dalej dostaje swoje listy, więc niczego nie zauważa.
Tak działa ta luka. Zaproszenie ICS to zwykły plik tekstowy z opisem wydarzenia, który program pocztowy zamienia w ładny kafelek. Zimbra nie usuwała z opisu wszystkich niebezpiecznych elementów, więc przemycony skrypt uruchamiał się, gdy użytkownik oglądał wiadomość. Skrypt działa z uprawnieniami ofiary: może ustawić przekierowanie poczty i wyprowadzić dane, nie zmieniając niczego widocznego w interfejsie.
💡 Plik ICS to standardowy format zaproszeń i wydarzeń kalendarza. XSS (cross-site scripting) to atak, w którym obcy skrypt wykonuje się na stronie w przeglądarce ofiary. Trwały XSS oznacza, że złośliwa treść jest zapisana na serwerze (np. w wiadomości) i czeka, aż ktoś ją wyświetli. Sesja to zalogowany stan użytkownika w przeglądarce. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera wiadomość z zaproszeniem | Widzi kafelek z przyciskami „przyjmij” i „odrzuć” | Dodatkowo w tle wykonuje się skrypt napastnika |
Filtry i przekierowania w skrzynce | Ustawia je tylko właściciel | Mogą zostać ustawione bez jego wiedzy |
Poczta przychodząca | Trafia tylko do właściciela | Kopia może trafiać do napastnika |
Objawy dla użytkownika | Brak | Też brak, skrzynka działa normalnie |
Monitoring serwera | Pokazuje, że serwer działa | Nadal nie pokazuje żadnego problemu |
źródło: Pexels, BOOM PhotographyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by ofiara otworzyła wiadomość w interfejsie Classic, dlatego CISA ocenia go jako trudny do pełnej automatyzacji: to raczej kampanie wymierzone w wybrane skrzynki niż masowe przejęcia serwerów. Do rekordu CVE dopisano odsyłacz do opisu ataku dnia zerowego z użyciem plików ICS, ale tej strony nie udało się nam pobrać i zweryfikować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Ustalenie firm i osób korzystających z Zimbry (np. księgowość, zarząd) | Lista adresów e-mail |
2. Wysyłka zaproszenia | T+1 godz. | Wysłanie wiadomości z plikiem ICS zawierającym ukryty skrypt | Wiadomość w skrzynce ofiary |
3. Otwarcie wiadomości | T+minuty do dni | Ofiara otwiera wiadomość w kliencie Classic | Skrypt działa w sesji ofiary |
4. Ustawienie przekierowania | T+sekundy od otwarcia | Założenie filtra kopiującego pocztę na adres napastnika, wyprowadzenie danych | Ciche kopiowanie korespondencji |
5. Obserwacja | T+tygodnie do miesięcy | Czytanie korespondencji: terminy płatności, kwoty, osoby decyzyjne | Wiedza do oszustwa |
6. Oszustwo | T+moment płatności | Podstawiona faktura lub prośba o zmianę numeru konta, w stylu prawdziwej korespondencji | Przelew na konto przestępców |
Ocena 5.4 wygląda niegroźnie, ale opisuje techniczny zakres błędu, a nie skutek biznesowy. Ciche przekierowanie poczty to idealne narzędzie do oszustw na fakturę i do kradzieży poufnych informacji, a nie daje żadnych objawów, które zauważyłby użytkownik lub monitoring.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przegląd wszystkich skrzynek i filtrów, zmiana haseł, aktualizacja serwera | Dni | 5 tys. do 50 tys. PLN (praca zespołu IT) |
Bezpieczeństwo danych | Wyciek korespondencji, faktur, danych klientów, haseł przesyłanych mailem | Tygodnie do miesięcy (ciche) | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelewy na podmienione rachunki, koszty odzyskiwania środków | Tygodnie do miesięcy | 15 tys. do 500 tys. PLN (zależnie od kwot przelewów) |
Reputacyjny | Utrata klientów, którzy powierzali firmie dokumenty | Miesiące | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); możliwe roszczenia klientów | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Zimbra bez poprawki (klient Classic)
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . ■ . . ← ŚREDNIO-WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: technicznie luka dotyczy pojedynczych skrzynek i wymaga otwarcia wiadomości, więc ani prawdopodobieństwo, ani wpływ nie są maksymalne; potwierdzone ataki i ciche przekierowanie poczty sprawiają jednak, że dla firm przetwarzających faktury i dane klientów ryzyko finansowe jest wyraźnie wyższe, niż sugeruje ocena 5.4.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję serwera Zimbra z numerem poprawki (P) | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Zaktualizować do 10.1.5, 10.0.13, 9.0.0 P44 lub nowszej | Dziś lub w najbliższym oknie serwisowym | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Przejrzeć filtry i przekierowania na wszystkich kontach, usunąć te bez znanego właściciela | Dziś | Administrator poczty |
4 | 🟠 PILNIE | Przejrzeć skrzynki pod kątem wiadomości z zaproszeniami ICS od nieznanych nadawców | Do 3 dni | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zmienić hasła kont, na których wykryto nieznane filtry, i sprawdzić, jakie dane mogły wyciec | Do 3 dni | Administrator / CTO |
6 | 🟠 PILNIE | Ostrzec księgowość: każda zmiana numeru rachunku kontrahenta wymaga potwierdzenia telefonicznego | Do 2 dni | CFO |
7 | 🟡 WAŻNIE | Wprowadzić kwartalny przegląd filtrów i przekierowań na wszystkich kontach | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich trzech linii, a błąd tkwi w kodzie wyświetlającym wiadomości, więc aktualizacja jest jedyną pełną naprawą. Do czasu aktualizacji ryzyko ograniczają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Codzienny przegląd filtrów i przekierowań na kontach | Średnia: nie zapobiega, ale szybko wykrywa skutek | Łatwa |
Blokada lub ograniczenie automatycznego przekierowania poczty na adresy zewnętrzne na serwerze | Średnia do wysokiej wobec głównego skutku ataku | Średnia |
Korzystanie z nowszego interfejsu WWW zamiast Classic, jeśli jest dostępny | Średnia: luka dotyczy tylko interfejsu Classic | Średnia: zmiana przyzwyczajeń użytkowników |
Filtrowanie przychodzących plików ICS od nieznanych nadawców | Niska do średniej | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Zimbry | Bez poprawki | 10.1.5, 10.0.13, 9.0.0 P44 lub nowsza |
Filtry i przekierowania | Nieprzejrzane, mogą zawierać wpisy napastnika | Przejrzane, każdy ma znanego właściciela |
Zmiana rachunku kontrahenta | Na podstawie maila | Potwierdzana telefonicznie |
Wiedza o wycieku | Brak | Wiadomo, które skrzynki mogły być kopiowane |
Zgodność z terminem CISA | Zaległość od 28 października 2025 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak nieautomatyzowalny, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w zweryfikowanych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.4 ŚREDNIA (CVSS 3.1, wystawiona przez CISA w NVD); brak oceny podstawowej NVD |
PoC dostępny publicznie? | Do rekordu dopisano odsyłacz do opisu ataku oznaczony jako kod ataku; nie udało się nam go pobrać i zweryfikować |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,03918, percentyl 0,8952 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-27915
CVSS 3.1 (CISA) 5.4/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~4% █░░░░░░░░░░░░░░░░░░░ percentyl 89,5
CISA KEV TAK ████████████████████ ataki potwierdzone
Skutek wg CISA (SSVC) całkow. ████████████████████ przejęcie skrzynki
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-03-12 Publikacja CVE-2025-27915 (poprawki w 10.1.5, 10.0.13,
9.0.0 P44)
... prawie 7 miesięcy bez wpisu w katalogu CISA
2025-10-07 CISA dodaje lukę do katalogu KEV; do rekordu dopisano
opis ataku dnia zerowego z plikami ICS
2025-10-28 Termin naprawy wg CISA dla agencji federalnych
2025-11 Zmiana nazwy producenta w bazie z Zimbra na Synacor
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 11 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Centrum bezpieczeństwa producenta: wiki.zimbra.com/wiki/Security_Center . Notatki wydania z poprawką: 10.1.5 , 10.0.13 , 9.0.0 P44 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-27915 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma własny serwer Zimbra i czy pracownicy używają interfejsu Classic | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji serwera z numerem poprawki | CTO | DZISIAJ |
3 | Zlecić przegląd filtrów i przekierowań na wszystkich kontach | CTO | DZISIAJ |
4 | Wprowadzić zasadę telefonicznego potwierdzania zmian rachunków kontrahentów | CFO | DZISIAJ |
5 | Zatwierdzić termin aktualizacji serwera | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę, jeśli znaleziono nieznane przekierowania | CFO | DO JUTRA |
7 | Sprawdzić przelewy z ostatnich miesięcy, w których zmieniono rachunek odbiorcy | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja naszego serwera Zimbra z numerem poprawki? | [wersja] | 🔴 |
2 | Kiedy zainstalowano 10.1.5, 10.0.13, 9.0.0 P44 lub nowszą? | [data] | 🔴 |
3 | Czy na którymkolwiek koncie są filtry lub przekierowania bez znanego właściciela? | TAK / NIE | 🔴 |
4 | Czy pracownicy korzystają z interfejsu Classic? | TAK / NIE | 🟠 |
5 | Czy serwer pozwala automatycznie przekierowywać pocztę na adresy zewnętrzne? | TAK / NIE | 🟠 |
6 | Czy w skrzynkach są zaproszenia ICS od nieznanych nadawców z ostatnich miesięcy? | TAK / NIE | 🟠 |
7 | Jak często przeglądamy filtry i przekierowania na kontach? | [częstotliwość] | 🟡 |
CVE-2025-27915 pozwala spreparowanym zaproszeniem ICS uruchomić skrypt w skrzynce użytkownika klasycznego interfejsu Zimbry i po cichu przekierować pocztę do napastnika. Mimo oceny „średniej” CISA potwierdza ataki, więc aktualizacja serwera i przegląd filtrów na wszystkich kontach to zadania na dziś, a zasada potwierdzania zmian rachunków w księgowości chroni także przed skutkami, które mogły już nastąpić.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.