「Zimbra」脆弱性にゼロデイ攻撃、露支援攻撃者が関与

2025年11月に修正され、2026年1月5日に公開された。米CISAにおいても、2026年3月に「悪用が確認された脆弱性カタログ（KEV）」へ登録するなど脆弱性への対応を進めてきたが、今回、少なくとも2025年7月より脆弱性が悪用されていたことを明らかにした。

攻撃では独自ツール「Ulej」が使用されたと指摘。ロシア語で「ハチの巣」を意味する名前がつけられた同ツールでは、ログインしている利用者の権限で、JavaScriptにより複数のAPIを呼び出して情報を収集。窃取した情報をDNSクエリやHTTPSリクエストを用いて、攻撃者が管理する攻撃基盤「Flowerbed」へ送信するしくみだった。「Flowerbed」の開発にあたってはAIが利用された兆候もあるという。

過去90日分のメールや添付ファイル、メールアドレス、組織のグローバルアドレスリストなどの情報が狙われたほか、2要素認証用コードやあらたに作成したアプリケーションパスコード、パスワード管理ツールにより自動入力されたデータなども取得対象となっていた。

さらにIMAPを有効化し、侵害以降も継続的にメールボックスの内容を取得できるよう、あらたなアプリケーションパスコードを作成していた。

レポートでは、同製品を利用するすべての組織に対して脆弱性が解消されているバージョンへアップデートすることや、アップデートするまで緩和策を実施するよう求めた。あわせて侵害に関連する脅威情報「IoC（Indicators of Compromise）」を公開しており、悪意ある通信や不正なリクエストの有無など、侵害調査を実施するよう呼びかけている。

（Security NEXT - 2026/07/27 ）ツイート

「Zimbra」脆弱性にゼロデイ攻撃、露支援攻撃者が関与

関連リンク

PR

関連記事