メールを開いた瞬間に発動するゼロデイ脆弱性

新たに公開されたZimbra Collaboration Suiteの脆弱性により、ITチームや一般ユーザーは、メールクライアントのユーザーインターフェースにどれだけの信頼を置くべきか考え直さざるを得なくなっています。CVE-2025-66376として追跡されているこの脆弱性は、Zimbra Classic UIに存在する蓄積型クロスサイトスクリプティング（XSS）の欠陥で、被害者が悪意のあるメールを閲覧した瞬間に発動します。添付ファイルを開く必要も、リンクをクリックする必要もありません。メッセージをプレビューするだけで、攻撃者はメールボックス内での足がかりを得てしまいます。

蓄積型XSSの脆弱性が特に危険なのは、悪意のあるコードがサーバーにとって正当なコンテンツ（この場合はメール本文）の内部に潜むからです。ZimbraのClassic UIがそのメールをレンダリングした瞬間、攻撃者のスクリプトは被害者の認証済みセッション内で実行され、そのセッションが持つあらゆるアクセス権と権限を引き継いでしまいます。

攻撃の手口と窃取されるもの

公開情報によると、この脆弱性により攻撃者はCSRFトークンを盗み出し、2FAリカバリーコードを抽出し、さらには被害者のアカウントにアプリ固有パスワードを設定することさえ可能になります。そのすべてが、最初のメール表示以外の追加の操作を一切必要としません。これらの結果はいずれも単体で深刻ですが、組み合わさることでほぼ完全なアカウント乗っ取りへの道筋となります。

CSRFトークンは、Webアプリケーションへのリクエストが本当にログイン中のユーザーから発信されたものであることを検証するためのものです。攻撃者が注入したスクリプトを通じてこのトークンを取得できれば、パスワードなしで被害者に代わって行動できる可能性があります。2FAリカバリーコードはアカウント復旧のための最後の砦として機能すべきものですが、これを盗まれることで、防御策としての二要素認証が実質的に無力化されます。そして、サードパーティアプリケーションに限定的なアカウントアクセスを許可するためによく使われるアプリ固有パスワードは、攻撃者に元のエクスプロイトを繰り返したり、今後のセキュリティプロンプトに対処したりする必要のない、静かで永続的なメールボックスへの再侵入手段を与えてしまいます。

この組み合わせは、すでに実際の攻撃で確認されている事例そのものです。CVE-2025-66376として追跡されているZimbraのゼロデイ脆弱性に関する以前の報道でも取り上げたように、同じ脆弱性はロシア国家に関連するスパイ活動に結びついており、西側組織のメールデータを静かに吸い上げるために使用されました。この実際の悪用事例は、これがラボのレポートに載るだけの理論上のバグではなく、特定のメールボックスを標的にするリソースと動機を持つ攻撃者にとって実際に有用なものであることを裏付けています。

これは単なるセキュリティ問題ではなく、プライバシーの問題である

メールの脆弱性を「IT部門の問題」として片付けたくなるかもしれませんが、ここでのプライバシーへの影響は、脆弱なZimbra Classic UIインスタンス上でメールボックスを運用しているすべての人に及びます。メールの受信トレイはデジタルアイデンティティの基盤です。そこにはパスワードリセットのリンク、金融関係のやり取り、法的文書、個人的な会話、そして他のアカウントを保護するために設計された2FAリカバリーの仕組みそのものが保管されています。攻撃者がレンダリングの欠陥を悪用してこれらのデータを静かに収穫できる場合、その被害はメールサーバーそのものをはるかに超えて広がります。

特に2FAリカバリーコードの窃取は、多くのユーザーが最も強力な防御策と考えているセキュリティ層を根本から揺るがします。二要素認証はアカウント乗っ取りに対する最善の防御策としてしばしば推奨されますが、その推奨はリカバリーの仕組み自体が秘密に保たれることを前提としています。メールを表示するだけでこれらのコードを露出させる脆弱性は、その前提を静かに崩し去り、しかも被害者には何も異常が起こらなかったかのように感じさせます。

この種の攻撃は、私たちの報道が追い続けてきたより広範なパターンにも合致します。つまり、攻撃者は力任せの侵入よりも、ステルス性が高く操作の少ない手法をますます好むようになっています。フィッシングがランサムウェア攻撃の主要な原因として従来のエクスプロイトを上回りましたが、このような蓄積型XSSのバグは、被害者が明らかなミスを犯すことに頼るのではなく、メールを読むという日常的な行為そのものを攻撃者が悪用していることを示しています。

あなたにとっての意味

あなたの組織または個人のメールがClassic UIを備えたZimbra Collaboration Suiteで運用されている場合、この脆弱性には早急な注意が必要です。このエクスプロイトにはクリックもダウンロードも明白な危険信号も必要ないため、「不審なリンクをクリックしない」という従来のアドバイスは、ここではほとんど保護になりません。責任は、管理者がベンダーのパッチを迅速に適用することと、ユーザーが異常なアカウントアクティビティ（見慣れないアプリ固有パスワードや予期しないセッションの挙動など）に警戒することへと移ります。

すでに標的型スパイ活動に結びついている事実を踏まえれば、機密性の高い通信を扱う組織（政府委託業者、ジャーナリスト、法律事務所など）は、パッチ適用を定常業務ではなく緊急対応として扱うべきです。

実行可能な対策

  • 組織がZimbra Classic UIを使用しているか確認し、CVE-2025-66376のパッチが適用済みか保留中かを確認してください。
  • アカウントのアプリ固有パスワードを確認し、見覚えのないものや使用していないものをすべて取り消してください。
  • パッチ適用後、2FAリカバリーコードを再設定してください。それまでに保存されていたコードはすでに露出している可能性があります。
  • Classic UIが業務に不可欠でない場合は、ZimbraのモダンWebクライアントへの切り替えを検討し、この特定の脆弱性への露出を減らしてください。
  • Zimbraからの管理者向けアドバイザリを監視してください。Webメールクライアントの蓄積型XSS欠陥は、初期パッチのリリース後も攻撃者の継続的な関心を引きつける傾向があります。

このZimbraのゼロデイは、基盤となるソフトウェアに未解決の欠陥がある場合、メールを開くといった日常的な行動でさえ隠れたリスクを孕みうることを改めて思い起こさせます。パッチを最新に保ち、メールボックスのセキュリティ設定を銀行口座と同様の厳しい目で扱うことが、そのギャップを埋める大きな助けとなるでしょう。