ロシア支援のスパイ集団、Zimbraのゼロデイ脆弱性を悪用し欧米組織からメールや2要素認証コードを窃取

要点

• ロシア政府支援のスパイグループが、Zimbraの脆弱性を悪用し欧米の政府や企業からメールを盗んでいたことが判明。
• 悪用された「CVE-2025-66376」は、ユーザーがメールを表示するだけで悪意あるスクリプトが自動実行される。
• 攻撃者はメールデータのほか、ブラウザ保存のパスワードや2要素認証（2FA）の復旧コード、連絡先一覧などを窃取した。
• パッチ適用後も、攻撃者が作成した「アプリ専用パスワード」により侵害が継続する恐れがある。

リード文

米国家安全保障局（NSA）やサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）などは2026年7月23日、ロシア政府支援のスパイグループがZimbra製ウェブメールのゼロデイ脆弱性（修正プログラム提供前のセキュリティ上の欠陥）を悪用していたとする共同アドバイザリを発表した。セキュリティ企業のUnit 42およびProofpointの調査も同時に公開され、攻撃者が欧米の政府や企業から情報を窃取していた詳細が明らかになった。

脆弱性「CVE-2025-66376」の正体と「ゼロクリック」での実行

悪用されたのは「CVE-2025-66376」と呼ばれる、ZimbraのClassic UI（従来のユーザーインターフェース）に存在する蓄積型クロスサイトスクリプティング（XSS：ウェブサイトに悪意のあるスクリプトを埋め込み、閲覧者のブラウザで実行させる攻撃手法）の脆弱性である。
細工されたHTMLメールにCSSの「@import」ルール（外部スタイルシートを取り込む機能）を悪用した仕掛けが施されており、Zimbraでの受信時にセッション内でJavaScriptが自動実行され、メールボックスのアクセス権が継承される。
この脆弱性はユーザーがメールを表示するだけで実行される。そのため、ユーザー操作（攻撃成功に必要な操作）の有無は評価機関で判断が分かれ、米国国立脆弱性データベース（NVD）は操作が必要とした一方、MITREは不要と評価し、Unit 42は「ゼロクリック」と呼ぶが、いずれも閲覧以外の追加操作は不要な点で一致している。

パッチ公開までの空白期間と被害対象

この脆弱性は、Zimbra Collaborationのバージョン10.0（10.0.18未満）および10.1（10.1.13未満）に影響する。Zimbraは2025年11月6日に修正パッチをリリースし、CISAは2026年3月18日に「悪用が確認された脆弱性（KEV）」カタログに追加した。
しかしProofpointによれば、攻撃グループ「TA488」は、パッチ提供前の2025年中に少なくとも5ヶ月間、本バグをゼロデイとして悪用していたという。
標的となったのは、NATO加盟国、ウクライナ、独立国家共同体（CIS）、アフリカ各国の政府、防衛、運輸、金融機関などで、米国の政府や原子力関連施設を含む防衛産業基盤も含まれる。

検知を免れる巧妙な「タグ分割」の手法

攻撃グループは、管理下のProton Mailアカウントや以前に乗っ取ったメールアドレスから、ニュースダイジェストなどを装った偽メールを送信していた。
HTMLメール本文の非表示領域（display:none）に svg onload タグを隠し、偽の「@import」ディレクティブやHTMLコメントでタグの文字列を細かく分断した。これは「タグスプリッティング」と呼ばれる手法である。
Zimbraのサニタイザー（悪意あるコードを無害化するフィルタリング機能）は分断された文字列をコードと認識できず通過させてしまう。その後、処理の中で @import が除去された結果、ブラウザがレンダリングする段階で文字列が再結合され、実行可能なスクリプトとして起動する。

情報窃取とバックドア「ZimReaper」の挙動

実行されたJavaScriptペイロード「ZimReaper」は、CSRFトークン（正規リクエストを証明する使い捨て識別子）や自動入力パスワードを窃取する。さらにZimbraのAPIを用いて2要素認証（2FA：異なる認証要素を組み合わせる仕組み）の復旧コードやシステム情報を取得し、DNSクエリ経由で攻撃者へ送信した。
また、組織の連絡先一覧（グローバルアドレスリスト：GAL）に総当たりクエリを実行して収集。被害者の過去90日間のメールデータをTGZ形式のアーカイブでC2サーバー（攻撃者が構築した指令サーバー）へ送信していた。Unit 42は少なくとも9つのC2 IPアドレスと9つのドメインを確認しており、各サーバーの平均稼働期間は35.4日間であった。

パッチ適用だけでは防げない永続的な侵害

本攻撃の大きな脅威は、脆弱性の修正だけでは侵害を防ぎきれない点にある。
ペイロードは侵入時にZimbraの機能を悪用し、「ZimbraWeb」というアプリ専用パスワードを作成する。これにより、攻撃者は2要素認証をバイパスしてIMAPやPOP3経由で、被害者のメールボックスへ恒久的にアクセスできる状態を確立していた。
このパスワードは通常のログインパスワードを変更しても残るため、パッチ適用後もアクセス維持が可能になる。
今年1月にウクライナの機関が標的となった事案でも、IMAP接続を有効化する設定が強制的に有効化されていた。共同アドバイザリは、パッチ適用だけでなく、不審なアプリ専用パスワードが作成されていないかのアカウント点検を強く推奨している。