Een zero‑day die meteen actief wordt zodra je een e‑mail opent

Een pas ontdekt lek in Zimbra Collaboration Suite dwingt IT-teams en gewone gebruikers om opnieuw na te denken over hoeveel vertrouwen ze stellen in de gebruikersinterface van hun e‑mailclient. Het lek staat geregistreerd als CVE-2025-66376 en is een stored cross‑site scripting (XSS)-bug in de Classic UI van Zimbra die actief wordt zodra het slachtoffer een kwaadaardige e‑mail bekijkt. Er hoeft geen bijlage te worden geopend, geen link te worden aangeklikt. Alleen het previewen van het bericht is genoeg om een aanvaller een voet tussen de deur in de mailbox te geven.

Stored XSS-lekken zijn bijzonder gevaarlijk omdat de kwaadaardige code zich bevindt in inhoud die de server als legitiem beschouwt – in dit geval de body van een e‑mail. Zodra de Classic UI van Zimbra die e‑mail weergeeft, wordt het script van de aanvaller uitgevoerd binnen de geauthenticeerde sessie van het slachtoffer, en erft het dezelfde toegangsrechten en permissies die de sessie al heeft.

Hoe de aanval werkt en wat er wordt gestolen

Volgens de openbaarmaking stelt het lek aanvallers in staat om CSRF-tokens te stelen, 2FA-herstelcodes te achterhalen en zelfs app‑specifieke wachtwoorden voor het account van het slachtoffer aan te maken – allemaal zonder enige extra interactie naast het bekijken van de e‑mail. Elk van deze uitkomsten is op zichzelf al ernstig, maar samen vormen ze een vrijwel volledig overnamepad.

CSRF-tokens zijn bedoeld om te controleren of verzoeken aan een webapplicatie daadwerkelijk afkomstig zijn van de ingelogde gebruiker. Als een aanvaller dat token via een geïnjecteerd script kan achterhalen, kan hij mogelijk namens het slachtoffer handelingen verrichten zonder een wachtwoord nodig te hebben. 2FA-herstelcodes zouden een laatste redmiddel moeten zijn voor accountherstel; door ze te stelen wordt tweefactorauthenticatie feitelijk onschadelijk gemaakt als verdediging. En app‑specifieke wachtwoorden, vaak gebruikt om toepassingen van derden beperkte accounttoegang te geven, bieden aanvallers een stille, hardnekkige manier om terug in de mailbox te komen zonder de oorspronkelijke exploit te hoeven herhalen of door toekomstige beveiligingsprompts te hoeven gaan.

Deze combinatie weerspiegelt wat al in de praktijk is waargenomen. Zoals we eerder berichtten over de Zimbra zero‑day met kenmerk CVE-2025-66376, wordt hetzelfde lek in verband gebracht met een Russische aan de staat gelieerde spionagecampagne die het gebruikte om stilletjes e‑mailgegevens van westerse organisaties af te tappen. Die exploitatie in de echte wereld onderstreept dat dit geen theoretische bug uit een laboratoriumrapport is – het is actief bruikbaar voor aanvallers met de middelen en motivatie om specifieke mailboxen aan te vallen.

Waarom dit een privacyprobleem is en niet alleen een beveiligingsprobleem

Het is verleidelijk om e‑maillekken af te doen als ‘een zaak van de IT-afdeling’, maar de privacy‑implicaties raken iedere persoon van wie de mailbox op een kwetsbare Zimbra Classic UI‑instantie draait. E‑mailinboxen vormen de ruggengraat van digitale identiteit. Ze bevatten wachtwoord‑resetlinks, financiële correspondentie, juridische documenten, persoonlijke gesprekken en juist de 2FA-herstelmechanismen die bedoeld zijn om andere accounts te beschermen. Wanneer een aanvaller die gegevens ongemerkt kan oogsten door misbruik te maken van een weergavefout, reikt de schade veel verder dan de mailserver zelf.

De diefstal van 2FA-herstelcodes ondermijnt specifiek een beveiligingslaag die veel gebruikers als hun sterkste schild zien. Tweefactorauthenticatie wordt vaak aanbevolen als de beste verdediging tegen accountovername, maar die aanbeveling gaat ervan uit dat het herstelmechanisme zelf geheim blijft. Een lek dat die codes blootlegt alleen al door een e‑mail te bekijken, holt die aanname geruisloos uit, zonder dat het slachtoffer merkt dat er iets ongewoons is gebeurd.

Dit type aanval past bovendien in een breder patroon dat wij in onze berichtgeving volgen: aanvallers hebben steeds vaker een voorkeur voor onmerkbare methoden met minimale interactie boven brute‑force‑binnendringen. Net zoals phishing inmiddels de voornaamste drijfveer is achter ransomware‑aanvallen en klassieke exploits heeft ingehaald, laten stored XSS‑bugs als deze zien hoe aanvallers de alledaagse handeling van e‑mail lezen misbruiken in plaats van te vertrouwen op een zichtbare fout van het slachtoffer.

Wat dit voor jou betekent

Als je organisatie of persoonlijke e‑mail draait op Zimbra Collaboration Suite met de Classic UI, verdient dit lek onmiddellijke aandacht. Omdat de exploit geen klik, geen download en geen duidelijk waarneembare rode vlag vereist, biedt het klassieke ‘klik niet op verdachte links’ hier nauwelijks bescherming. De verantwoordelijkheid verschuift naar beheerders die patches van de leverancier snel doorvoeren en naar gebruikers die alert blijven op ongebruikelijke accountactiviteit, zoals onbekende app‑specifieke wachtwoorden of afwijkend sessiegedrag.

Aangezien het lek al in verband is gebracht met doelgerichte spionageactiviteiten, moeten organisaties die gevoelige communicatie verwerken – overheidsleveranciers, journalisten, advocatenkantoren – patching als urgent beschouwen, niet als routinematig.

Concrete actiepunten

  • Controleer of jouw organisatie Zimbra Classic UI gebruikt en of er een patch voor CVE-2025-66376 is aangebracht of nog gepland staat.
  • Bekijk de app‑specifieke wachtwoorden van je account en trek onbekende of niet langer gebruikte wachtwoorden in.
  • Reset 2FA-herstelcodes nadat de patch is toegepast, aangezien eerder opgeslagen codes mogelijk al zijn blootgesteld.
  • Overweeg over te schakelen naar de moderne webclient van Zimbra als de Classic UI niet essentieel is voor je workflow, zodat de blootstelling aan dit specifieke lek afneemt.
  • Houd adviezen van de beheerder van Zimbra in de gaten, want stored XSS‑fouten in webmailclients trekken doorgaans aanhoudende interesse van aanvallers, zelfs nadat de eerste patches zijn uitgebracht.

Deze Zimbra zero‑day herinnert ons eraan dat zelfs routinematige handelingen zoals het openen van een e‑mail verborgen risico’s kunnen meebrengen wanneer de onderliggende software niet‑verholpen gebreken bevat. Door patches bij te houden en de beveiligingsinstellingen van je mailbox met dezelfde zorgvuldigheid te behandelen als je bankrekening, kun je dat gat voor een groot deel dichten.