「Zimbra」脆弱性にゼロデイ攻撃、露支援攻撃者が関与

2025年11月に修正され、2026年1月5日に公開された。米CISAにおいても、2026年3月に「悪用が確認された脆弱性カタログ（KEV）」へ登録するなど脆弱性への対応を進めてきたが、今回、少なくとも2025年7月より脆弱性が悪用されていたことを明らかにした。

攻撃では独自ツール「Ulej」が使用されたと指摘。ロシア語で「ハチの巣」を意味する名前がつけられた同ツールでは、ログインしている利用者の権限で、JavaScriptにより複数のAPIを呼び出して情報を収集。窃取した情報をDNSクエリやHTTPSリクエストを用いて、攻撃者が管理する攻撃基盤「Flowerbed」へ送信するしくみだった。「Flowerbed」の開発にあたってはAIが利用された兆候もあるという。

過去90日分のメールや添付ファイル、メールアドレス、組織のグローバルアドレスリストなどの情報が狙われたほか、2要素認証用コードやあらたに作成したアプリケーションパスコード、パスワード管理ツールにより自動入力されたデータなども取得対象となっていた。

さらにIMAPを有効化し、侵害以降も継続的にメールボックスの内容を取得できるよう、あらたなアプリケーションパスコードを作成していた。

レポートでは、同製品を利用するすべての組織に対して脆弱性が解消されているバージョンへアップデートすることや、アップデートするまで緩和策を実施するよう求めた。あわせて侵害に関連する脅威情報「IoC（Indicators of Compromise）」を公開しており、悪意ある通信や不正なリクエストの有無など、侵害調査を実施するよう呼びかけている。

（Security NEXT - 2026/07/27 ） ツイート

PR

関連記事

Javaデータ変換ライブラリ「fastjson」に脆弱性 - 悪用攻撃も観測
「OpenAM」に深刻な脆弱性 - アップデートを公開
「ManageEngine ADAudit Plus」に脆弱性 - 4月に修正実施
「BIND 9」にキャッシュ汚染など複数脆弱性 - 修正版を公開
WordPress向けSSOプラグインに認証回避の脆弱性
「Chrome」に今月5度目のセキュリティ更新 - 脆弱性4件に対処
「Dell PowerProtect Data Manager」にアップデート - 脆弱性359件を修正
「SharePoint」「Check Point」の脆弱性悪用で警告 - 米当局
「Node.js」、セキュリティ更新を7月27日にリリース予定
Check Point製品の管理機能に脆弱性 - すでに悪用も、侵害調査を