Cosa è successo

Il 23 luglio 2026 CISA, NSA, FBI e un ampio gruppo di agenzie partner internazionali hanno pubblicato l'allerta congiunta AA26-204A, dedicata a una campagna di spionaggio informatico condotta da un gruppo russo di matrice statale noto come LAUNDRY BEAR. Il gruppo sfrutta CVE-2025-66376, una vulnerabilità di cross-site scripting (XSS) nella webmail di Zimbra Collaboration Suite dovuta alla mancata sanificazione delle direttive CSS @import contenute nel corpo dei messaggi.

La falla è stata corretta da Zimbra il 6 novembre 2025 nelle versioni 10.0.18 e 10.1.13, ma gli attaccanti la utilizzavano già da mesi prima della patch: al momento dell'operazionalizzazione era a tutti gli effetti uno zero-day. Secondo l'advisory, la campagna colpisce dal luglio 2025 organizzazioni di governo, difesa, energia, tecnologia, istruzione, media, forze dell'ordine e ONG in tutto l'Occidente.

Il tratto più insidioso è che si tratta di un exploit zero-click: non serve cliccare nulla, basta che la vittima visualizzi l'email malevola nella webmail vulnerabile. A quel punto entra in azione un malware — tracciato come ZimReaper con una componente di aggregazione ed esfiltrazione chiamata Ulej — che raccoglie l'indirizzo email, la password salvata nel browser, i codici di recupero della verifica in due passaggi (2FA) e i dettagli dell'installazione Zimbra. Il codice esplora la rubrica dell'intera organizzazione e tenta di esportare fino a 90 giorni di posta. Per garantirsi la persistenza, l'attaccante genera una falsa credenziale applicativa chiamata "ZimbraWeb" e può abilitare silenziosamente l'accesso IMAP, mantenendo così un secondo punto d'appoggio anche dopo un'eventuale bonifica superficiale.

Perché basta aprire un'email per perdere tutto

In un client di posta una XSS non è mai "solo" una XSS. Lo script eseguito nella sessione autenticata della webmail eredita i permessi dell'utente: legge la casella, ruba i token, modifica le impostazioni. Qui il salto di qualità è duplice. Primo, l'assenza di interazione: la vittima non commette errori, apre una mail dall'aspetto normale. Secondo, la profondità del furto: non vengono presi solo i messaggi, ma anche i codici 2FA di recupero e le password salvate nel browser, cioè le chiavi che permettono di aggirare le difese e di rientrare in futuro. La creazione di una credenziale applicativa e l'abilitazione di IMAP trasformano un accesso occasionale in una presenza stabile.

Non è un caso isolato. Solo poche settimane fa avevamo raccontato un'altra grave falla del Classic Web Client di Zimbra corretta con la 10.1.19: una CVE diversa, ma lo stesso schema di fondo. Zimbra, con la sua ampia base di server esposti su Internet, resta un bersaglio storico per i gruppi di spionaggio, proprio perché la posta è l'archivio più ricco di qualunque organizzazione.

Cosa significa per la PA e le aziende italiane

In Italia Zimbra è tutt'altro che marginale: è adottato da numerose pubbliche amministrazioni, università, aziende sanitarie e PMI come alternativa on-premise alle suite cloud, proprio per mantenere il controllo diretto dei dati. Gli stessi settori indicati come bersaglio dall'advisory — governo, difesa, energia, istruzione — coincidono in buona parte con il perimetro dei soggetti essenziali e importanti della direttiva NIS2.

Il rischio concreto è la compromissione silenziosa di caselle con accesso a comunicazioni riservate, e la sua persistenza nel tempo. Sul piano normativo le implicazioni sono immediate: per un soggetto NIS2, un incidente su un sistema di posta rientra tra gli eventi che possono richiedere la notifica al CSIRT Italia nei tempi previsti. Trattandosi di email — quindi quasi sempre di dati personali — scattano anche gli obblighi del GDPR: valutazione entro 72 ore e, se c'è rischio per gli interessati, notifica al Garante. Per un ente che gestisce dati dei cittadini, una casella violata da un attore statale non è un problema tecnico isolato ma un evento con conseguenze legali, reputazionali e di sicurezza nazionale.

Cosa fare subito

  • Aggiornare Zimbra ad almeno la 10.0.18 o la 10.1.13 (o versioni successive): la correzione di CVE-2025-66376 è disponibile da novembre 2025, ma molti server restano indietro.
  • Dare per compromessi i sistemi rimasti non aggiornati e avviare una caccia agli indicatori: cercare credenziali applicative anomale, in particolare quella denominata "ZimbraWeb", e revocarle.
  • Verificare l'eventuale abilitazione inattesa di IMAP e la presenza di regole di inoltro sospette sulle caselle.
  • Analizzare i log per richieste SOAP anomale, connessioni DNS o HTTPS insolite in uscita dai server webmail e sessioni non riconosciute.
  • Ispezionare i messaggi in ingresso alla ricerca di contenuti SVG anomali, direttive CSS @import e JavaScript offuscato.
  • Forzare il reset delle password degli utenti coinvolti, invalidare le sessioni attive e rigenerare i codici 2FA di recupero potenzialmente esfiltrati.
  • Consultare gli indicatori di compromissione (IoC) pubblicati nell'advisory AA26-204A e integrarli negli strumenti di monitoraggio.