Um Zero-Day que é acionado no momento em que abre um email

Uma vulnerabilidade recém-divulgada no Zimbra Collaboration Suite está a forçar equipas de TI e utilizadores comuns a repensar a confiança que depositam na interface de utilizador do seu cliente de email. Registada como CVE-2025-66376, a falha é um bug de cross-site scripting (XSS) armazenado na interface Classic do Zimbra, que é ativado assim que a vítima visualiza um email malicioso. Não é necessário abrir anexos, nem clicar em links. O simples ato de pré-visualizar a mensagem é suficiente para dar a um atacante um ponto de apoio dentro da caixa de correio.

As vulnerabilidades de XSS armazenado são particularmente perigosas porque o código malicioso reside dentro de conteúdo que o servidor considera legítimo — neste caso, o corpo de um email. Quando a interface Classic do Zimbra renderiza esse email, o script do atacante é executado dentro da sessão autenticada da vítima, herdando todos os acessos e permissões que essa sessão já possui.

Como o ataque funciona e o que é roubado

De acordo com a divulgação, a falha permite que os atacantes roubem tokens CSRF, extraiam códigos de recuperação 2FA e até criem palavras-passe específicas para aplicações na conta da vítima — tudo isto sem qualquer interação adicional além da visualização inicial do email. Cada um destes resultados é grave por si só, mas, em conjunto, representam um caminho de comprometimento quase total.

Os tokens CSRF servem para verificar que os pedidos enviados a uma aplicação web têm origem legítima no utilizador autenticado. Se um atacante conseguir extrair esse token através de um script injetado, pode potencialmente realizar ações em nome da vítima sem precisar de uma palavra-passe. Os códigos de recuperação 2FA deveriam ser a rede de segurança de último recurso para a recuperação de conta; roubá-los neutraliza efetivamente a autenticação de dois fatores como defesa. E as palavras-passe específicas para aplicações, frequentemente utilizadas para conceder a aplicações de terceiros um acesso limitado à conta, proporcionam aos atacantes uma via de regresso silenciosa e persistente à caixa de correio, sem necessidade de repetir a exploração original ou de lidar com futuros avisos de segurança.

Esta combinação espelha o que já foi documentado em ambiente real. Conforme relatámos anteriormente sobre o zero-day do Zimbra registado como CVE-2025-66376, a mesma vulnerabilidade foi associada a uma campanha de espionagem ligada ao Estado russo que a utilizou para extrair silenciosamente dados de email de organizações ocidentais. Esta exploração no mundo real sublinha que não se trata de um bug teórico guardado num relatório de laboratório — é ativamente útil para atacantes com os recursos e a motivação para visar caixas de correio específicas.

Porque é que isto é um problema de privacidade, e não apenas de segurança

É tentador classificar as vulnerabilidades de email como "um problema do departamento de TI", mas as implicações de privacidade aqui afetam todas as pessoas cuja caixa de correio funciona numa instância vulnerável da interface Classic do Zimbra. As caixas de entrada de email são a espinha dorsal da identidade digital. Armazenam links de recuperação de palavras-passe, correspondência financeira, documentos legais, conversas pessoais e os próprios mecanismos de recuperação 2FA concebidos para proteger outras contas. Quando um atacante pode recolher silenciosamente esses dados explorando uma falha de renderização, os danos estendem-se muito para além do próprio servidor de email.

O roubo de códigos de recuperação 2FA mina especificamente uma camada de segurança que muitos utilizadores tratam como a sua salvaguarda mais forte. A autenticação de dois fatores é frequentemente recomendada como a melhor defesa contra o comprometimento de contas, mas essa recomendação pressupõe que o próprio mecanismo de recuperação permanece secreto. Uma vulnerabilidade que expõe esses códigos através do simples ato de visualizar um email corrói silenciosamente esse pressuposto, e fá-lo sem que a vítima perceba que algo de anormal aconteceu.

Este tipo de ataque também se insere num padrão mais amplo que o nosso jornalismo tem acompanhado: os atacantes privilegiam cada vez mais métodos furtivos e de baixa interação em vez de intrusões por força bruta. Tal como o phishing já ultrapassou a exploração tradicional como o principal impulsionador de ataques de ransomware, bugs de XSS armazenado como este mostram como os atacantes estão a explorar o ato quotidiano de ler emails em vez de dependerem de que as vítimas cometam um erro óbvio.

O que isto significa para si

Se a sua organização ou o seu email pessoal funciona no Zimbra Collaboration Suite com a interface Classic, esta vulnerabilidade merece atenção imediata. Como a exploração não requer cliques, downloads ou qualquer sinal de alerta óbvio, os conselhos tradicionais do tipo "não clique em links suspeitos" oferecem pouca proteção aqui. A responsabilidade desloca-se para os administradores, que devem aplicar os patches do fabricante com prontidão, e para os utilizadores, que devem manter-se atentos a qualquer atividade incomum na conta, como palavras-passe específicas para aplicações desconhecidas ou comportamentos de sessão inesperados.

Dado que esta falha já foi associada a atividades de espionagem direcionada, organizações que lidam com comunicações sensíveis — contratantes governamentais, jornalistas, escritórios de advogados — devem tratar a aplicação de patches como urgente e não como rotina.

Medidas práticas a tomar

  • Verifique se a sua organização utiliza a interface Classic do Zimbra e confirme se um patch para a CVE-2025-66376 foi aplicado ou se está pendente.
  • Reveja as palavras-passe específicas para aplicações da sua conta e revogue todas as que não reconhecer ou já não utilizar.
  • Recomece os códigos de recuperação 2FA após aplicar o patch, uma vez que os códigos armazenados anteriormente podem já ter sido expostos.
  • Considere mudar para o cliente web moderno do Zimbra se a interface Classic não for essencial para o seu fluxo de trabalho, reduzindo a exposição a esta vulnerabilidade específica.
  • Esteja atento a comunicados do administrador por parte do Zimbra, uma vez que as falhas de XSS armazenado em clientes de webmail tendem a atrair um interesse contínuo por parte dos atacantes, mesmo depois de os patches iniciais serem lançados.

Este zero-day do Zimbra é um lembrete de que até ações rotineiras como abrir um email podem acarretar riscos ocultos quando o software subjacente tem falhas por corrigir. Manter os patches em dia e tratar as definições de segurança da sua caixa de correio com o mesmo escrutínio que dedica à sua conta bancária pode fazer toda a diferença para colmatar essa lacuna.