文章总结： 俄罗斯黑客组织利用Zimbra0-day漏洞实施零点击攻击，通过标签切分技术绕过清洗器，在邮件渲染时执行恶意脚本ZimbraReaper，窃取凭证、通讯录和邮件数据。建议立即升级至10.1.20版本，并重置密码、清理会话和检查IMAP设置。 综合评分： 75 文章分类： 漏洞分析,威胁情报,恶意软件,应急响应

俄罗斯黑客利用 Zimbra 0-Day 漏洞，零点击邮箱秒没

原创

hacking hacking

Hacking黑白红

2026年10月3日 21:37 安徽

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

兄弟们，今天聊个真能吓出冷汗的。别再以为“不点链接、不下附件”就高枕无忧了。

最近NSA、CISA联手曝光：

一个俄罗斯顶级黑客组织（Laundry Bear），用Zimbra邮箱的0day漏洞，搞出了真正的“零点击”攻击——你啥也没干，就只是看了一眼邮件，邮箱就被彻底搬空了。

黑客的“碎片魔术”：邮件咋自己炸的？

这帮黑客玩了个贼溜的手法，叫“标签切分”。

他们把恶意代码打碎，塞进HTML邮件里。

Zimbra的清洗器以为自己在清理垃圾，结果一通操作，反而把碎片拼成了完整的攻击标签。

邮件一渲染，恶意脚本直接在你的登录会话里跑起来了。这哪是钓鱼，这简直是“看一眼就中招”！

ZimReaper：黑客的“收割机”有多狠？

跑起来的攻击脚本叫ZimbraReaper，干的活儿堪称“一条龙服务”：

偷CSRF令牌、浏览器存的密码、2FA救援码；翻出整个公司的通讯录；把你近90天的邮件打包外传。

最阴的是，它还能偷偷建一个叫“ZimbraWeb”的应用专用密码，绕过2FA，就算你改了主密码，黑客照样能用IMAP静默登录读邮件，根本踢不走！

紧急应对：别光打补丁，账户得“洗澡”

Zimbra虽然发了补丁（建议直接升到10.1.20），但补丁只是堵洞。

已经中招的账户，必须彻底清洗：

重置密码、清会话、重发2FA码、删掉那个阴险的应用专用密码，再查查IMAP开关有没有被偷偷打开。

自托管邮件的兄弟，这波操作给所有Webmail都敲了警钟——渲染层有漏洞，看邮件就等于给黑客开门。

— END —

*本文作者：hacking。文章内容或图片来自网络，如果存有侵权，请留言，第一进行处理。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Hacking黑白红 hacking hacking《俄罗斯黑客利用 Zimbra 0-Day 漏洞，零点击邮箱秒没》