漏洞告急：CISA强制要求修复Zimbra安全漏洞
近日，美国网络安全与基础设施安全局（CISA）向联邦文职执行部门（FCEB）发出强制性指令，要求各机构针对Zimbra Collaboration Suite（ZCS）中存在的一项高危安全漏洞进行紧急修补。该漏洞被编号为CVE-2025-66376，目前已被证实正处于活跃利用状态。
Zimbra作为全球广泛使用的电子邮件与协作平台，服务于数以亿计的个人用户、数千家企业以及数百家政府机构。由于其庞大的用户基数，该平台的安全性长期以来一直是网络攻击者的重点目标。
漏洞技术细节与潜在风险
根据官方披露，CVE-2025-66376属于存储型跨站脚本（XSS）漏洞，存在于Zimbra的“经典UI”（Classic UI）界面中。攻击者无需进行身份验证，即可通过在电子邮件的HTML内容中滥用CSS @import指令来触发该漏洞。
虽然软件开发商Synacor尚未详细说明该漏洞的具体影响，但安全专家普遍认为，攻击者可以借此在受害者的浏览器中执行任意JavaScript代码。这意味着攻击者不仅能够劫持用户会话，还可能窃取Zimbra环境内的敏感数据，对企业及政府通信安全构成严重威胁。
修复期限与行业预警
根据CISA依据2021年11月发布的绑定操作指令（BOD 22-01）所作出的规定，相关联邦机构必须在4月1日前完成服务器的修补工作。CISA强调，此类漏洞是恶意攻击者常用的攻击向量，对联邦企业级网络构成了重大风险。
尽管该指令主要针对联邦机构，但CISA强烈建议私营部门及其他使用Zimbra的组织尽快采取行动。CISA在公告中明确指出：“请务必按照供应商提供的说明应用补丁，遵循针对云服务的BOD 22-01指导方针，如果无法应用修复措施，则应考虑停止使用该产品。”
Zimbra：黑客眼中的“常客”
Zimbra协作套件近年来多次成为黑客攻击的目标。从2022年6月的认证绕过及远程代码执行漏洞，到同年9月的零日漏洞攻击，再到近期针对CVE-2025-27915的恶意利用，黑客组织不断通过这些漏洞入侵全球各地的邮件服务器。
值得注意的是，俄罗斯背景的黑客组织“Winter Vivern”曾多次利用Zimbra的反射型XSS漏洞，成功入侵了北约成员国政府、外交官及军事人员的邮件门户。这些历史案例充分显示，Zimbra的安全性已成为全球网络防御的薄弱环节之一。随着此次CVE-2025-66376漏洞的曝光，各相关单位应高度重视，尽快进行系统升级，以防范潜在的数据泄露风险。
