Un zero-day che si attiva nel momento in cui apri un'email

Una vulnerabilità appena divulgata in Zimbra Collaboration Suite sta costringendo i team IT e gli utenti comuni a ripensare a quanta fiducia ripongono nell'interfaccia utente del proprio client di posta. Tracciata come CVE-2025-66376, la falla è un bug di cross-site scripting (XSS) memorizzato nell'interfaccia Classic di Zimbra che si attiva non appena la vittima visualizza un'email dannosa. Non è necessario aprire alcun allegato né cliccare su alcun link. L'anteprima del messaggio è sufficiente per consegnare all'attaccante un punto d'appoggio all'interno della casella di posta.

Le vulnerabilità XSS memorizzate sono particolarmente pericolose perché il codice malevolo risiede all'interno di contenuti che il server considera legittimi, in questo caso il corpo di un'email. Una volta che l'interfaccia Classic di Zimbra renderizza quell'email, lo script dell'attaccante viene eseguito all'interno della sessione autenticata della vittima, ereditando qualunque accesso e permesso quella sessione già possieda.

Come funziona l'attacco e cosa viene rubato

Secondo la divulgazione, la falla consente agli attaccanti di rubare token CSRF, estrarre codici di recupero 2FA e persino configurare password specifiche per le app sull'account della vittima, il tutto senza alcuna interazione aggiuntiva oltre alla prima visualizzazione dell'email. Ciascuno di questi esiti è grave di per sé, ma insieme rappresentano un percorso di compromissione quasi totale.

I token CSRF hanno lo scopo di verificare che le richieste a un'applicazione web provengano realmente dall'utente autenticato. Se un attaccante può intercettare quel token tramite uno script iniettato, può potenzialmente compiere azioni per conto della vittima senza bisogno di una password. I codici di recupero 2FA dovrebbero essere una rete di sicurezza di ultima istanza per il recupero dell'account; rubarli neutralizza di fatto l'autenticazione a due fattori come difesa. E le password specifiche per le app, spesso utilizzate per concedere ad applicazioni di terze parti un accesso limitato all'account, offrono agli attaccanti un modo silenzioso e persistente per rientrare nella casella di posta, senza dover ripetere l'exploit originale o affrontare futuri prompt di sicurezza.

Questa combinazione rispecchia quanto già documentato sul campo. Come abbiamo riportato in precedenza a proposito del zero-day di Zimbra tracciato come CVE-2025-66376, la stessa vulnerabilità è stata collegata a una campagna di spionaggio riconducibile allo stato russo che l'ha usata per sottrarre silenziosamente dati email da organizzazioni occidentali. Questo sfruttamento reale sottolinea che non si tratta di un bug teorico relegato a un rapporto di laboratorio, ma di uno strumento attivamente utile ad attaccanti con le risorse e la motivazione per prendere di mira specifiche caselle di posta.

Perché è un problema di privacy, non solo di sicurezza

È facile liquidare le vulnerabilità delle email come un "problema del reparto IT", ma le implicazioni per la privacy riguardano chiunque abbia una casella di posta in esecuzione su un'istanza vulnerabile dell'interfaccia Classic di Zimbra. Le caselle email sono la spina dorsale dell'identità digitale. Contengono link per il reset delle password, corrispondenza finanziaria, documenti legali, conversazioni personali e proprio quei meccanismi di recupero 2FA progettati per proteggere altri account. Quando un attaccante può raccogliere silenziosamente quei dati sfruttando un difetto di rendering, il danno si estende ben oltre il server di posta stesso.

In particolare, il furto dei codici di recupero 2FA mina uno strato di sicurezza che molti utenti considerano la loro protezione più solida. L'autenticazione a due fattori è spesso consigliata come la miglior difesa contro il furto di account, ma questa raccomandazione presuppone che il meccanismo di recupero stesso rimanga segreto. Una vulnerabilità che espone quei codici semplicemente visualizzando un'email erode silenziosamente tale presupposto, e lo fa senza che la vittima si accorga che sia successo qualcosa di anomalo.

Questo tipo di attacco rientra anche in un modello più ampio che il nostro reporting ha tracciato: gli attaccanti prediligono sempre più metodi furtivi e a bassa interazione rispetto alle intrusioni brute force. Proprio come il phishing ha superato lo sfruttamento tradizionale come principale causa di attacchi ransomware, bug XSS memorizzati come questo mostrano come gli attaccanti stiano sfruttando il gesto quotidiano di leggere le email invece di fare affidamento su un errore evidente della vittima.

Cosa significa per te

Se la tua organizzazione o la tua email personale è in esecuzione su Zimbra Collaboration Suite con l'interfaccia Classic, questa vulnerabilità richiede attenzione immediata. Poiché l'exploit non richiede clic, download o segnali d'allarme evidenti, il tradizionale consiglio di "non cliccare su link sospetti" offre poca protezione in questo caso. La responsabilità passa agli amministratori, che devono applicare tempestivamente le patch del fornitore, e agli utenti, che devono rimanere vigili per qualsiasi attività insolita dell'account, come password specifiche per app sconosciute o comportamenti inaspettati della sessione.

Dato che questa falla è già stata collegata ad attività di spionaggio mirato, le organizzazioni che gestiscono comunicazioni sensibili, gli appaltatori governativi, i giornalisti, gli studi legali dovrebbero considerare l'applicazione delle patch come urgente e non come routine.

Azioni concrete da intraprendere

  • Verifica se la tua organizzazione utilizza l'interfaccia Classic di Zimbra e controlla se è stata applicata o è in attesa una patch per CVE-2025-66376.
  • Controlla le password specifiche per le app del tuo account e revoca quelle che non riconosci o che non usi più.
  • Reimposta i codici di recupero 2FA dopo l'applicazione della patch, poiché i codici precedentemente memorizzati potrebbero essere già stati esposti.
  • Valuta di passare al client web moderno di Zimbra se l'interfaccia Classic non è essenziale per il tuo flusso di lavoro, riducendo così l'esposizione a questa specifica vulnerabilità.
  • Monitora gli avvisi agli amministratori da parte di Zimbra, poiché i bug XSS memorizzati nei client di webmail tendono ad attrarre un continuo interesse da parte degli attaccanti anche dopo il rilascio delle patch iniziali.

Questo zero-day di Zimbra ci ricorda che anche azioni di routine come aprire un'email possono comportare rischi nascosti quando il software sottostante presenta falle non risolte. Rimanere aggiornati sulle patch e trattare le impostazioni di sicurezza della propria casella di posta con la stessa attenzione riservata al proprio conto in banca può fare molto per colmare questa lacuna.