ثغرة زيمبرا الجديدة مكّنت جهة تجسس مدعومة من روسيا من اختراق البريد الإلكتروني وسرقة رسائل حديثة وكلمات مرور ورموز الاسترداد بمجرد فتح الرسالة.
ما هي ثغرة زيمبرا التي استُخدمت في الهجوم؟
تكشف الحملة الأمنية عن استغلال خطير في عميل البريد Zimbra Classic UI، حيث جرى استخدام ثغرة مخزنة من نوع XSS لتنفيذ تعليمات خبيثة داخل جلسة المستخدم المسجل دخوله.
الأخطر أن الهجوم لا يحتاج إلى نقر رابط أو تحميل ملف، بل يبدأ فور عرض البريد الإلكتروني داخل الواجهة المصابة. وهذا ما جعل ثغرة زيمبرا من أخطر الهجمات التي طالت البريد المؤسسي خلال الفترة الماضية.
كيف نُفذ الاستغلال؟
اعتمد المهاجمون على رسالة HTML مصممة بعناية لإخفاء كود خبيث داخل الصفحة، مع استغلال طريقة معالجة CSS وتعليمات @import لتجميع وسم SVG قابل للتنفيذ داخل المتصفح.
- نوع الثغرة: Stored Cross-Site Scripting
- الرقم التعريفي: CVE-2025-66376
- الواجهة المتأثرة: Zimbra Classic UI
- طريقة التنفيذ: عرض رسالة بريد خبيثة فقط
ماذا يسرق الهجوم من مستخدمي زيمبرا؟
الحمولة البرمجية لم تكتفِ بقراءة الرسائل، بل استهدفت بيانات حساسة تسمح بتمديد الاختراق حتى بعد تحديث النظام. ووفقاً لما رصده تيكبامين، فإن الخطر الفعلي يبدأ بعد تسريب بيانات الجلسة والحساب.
- آخر 90 يوماً من رسائل البريد الإلكتروني
- دليل البريد الكامل داخل المؤسسة
- كلمة المرور المحفوظة في المتصفح
- رموز استرداد المصادقة الثنائية 2FA
- رموز الحماية الخاصة بالجلسة مثل CSRF token
هذا يعني أن التحديث وحده لا يكفي إذا كانت بيانات الحساب قد سُرقت بالفعل، لأن المهاجم قد يحتفظ بوسائل وصول إضافية حتى بعد إغلاق الثغرة.
من هي الجهات المستهدفة وما مدة الهجوم؟
تشير التفاصيل المنشورة إلى أن الحملة استهدفت جهات حكومية وتجارية غربية منذ يوليو 2025 على الأقل، مع استمرار الاستغلال لأشهر قبل توفر الإصلاح الأمني.
كما استخدمت الرسائل عناوين بريد خاضعة لسيطرة المهاجمين، إضافة إلى حسابات مخترقة مسبقاً، مع عناوين عامة أو نشرات أخبار تبدو عادية لتقليل الشكوك ورفع معدلات فتح الرسائل.
متى تم إصلاح المشكلة؟
- الإصدارات المتأثرة: Zimbra Collaboration 10.0 قبل 10.0.18
- الإصدارات المتأثرة: Zimbra Collaboration 10.1 قبل 10.1.13
- تاريخ إصدار التصحيح: 6 نوفمبر 2025
- إدراجها ضمن الثغرات المستغلة: 18 مارس 2026
كيف تحمي مؤسستك من ثغرة زيمبرا الآن؟
الحل الأول هو التحديث الفوري إلى الإصدارات المصححة، لكن ذلك لا يعالج الحسابات التي سُرقت بياناتها سابقاً. لذلك يجب إعادة تعيين كلمات المرور، وإلغاء الجلسات النشطة، وتدوير رموز المصادقة والنسخ الاحتياطية الخاصة بالتحقق الثنائي.
في النهاية، تؤكد ثغرة زيمبرا أن مجرد عرض بريد إلكتروني قد يكون كافياً لبدء اختراق كامل، ولهذا تنصح تيكبامين بمراجعة سجلات البريد، وتقييد استخدام الواجهة الكلاسيكية، وتسريع الاستجابة لأي رسائل HTML مشبوهة.
