---
title: "Rus Casusluk Grubu, Zimbra Açığını Kullanarak E-posta ve 2FA Kodlarını Çaldı"
url: "https://teknotayf.com/haber/rus-casusluk-grubu-zimbra-acigini-kullanarak-e-posta-ve-2fa-kodlarini-caldi"
markdown_url: "https://teknotayf.com/haber/rus-casusluk-grubu-zimbra-acigini-kullanarak-e-posta-ve-2fa-kodlarini-caldi.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-23 22:30:49"
updated: "2026-07-23 21:51:11"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Zimbra Güvenlik Açığı","Rus Casusluk Grubu"]
source: "The Hacker News"
---

# Rus Casusluk Grubu, Zimbra Açığını Kullanarak E-posta ve 2FA Kodlarını Çaldı

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/rus-casusluk-grubu-zimbra-acigini-kullanarak-e-posta-ve-2fa-kodlarini-caldi  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Rus devlet destekli Laundry Bear grubu, Zimbra webmail istemcisindeki sıfır gün açığını kullanarak ABD, Ukrayna ve Batılı kuruluşları hedef aldı. Saldırı, e-postayı açmakla tetikleniyor ve son 90 günlük e-postalar, şifreler ve iki faktörlü kurtarma kodları çalınıyor. Güvenlik açığı Kasım 2025'te yamalanmış olsa da grup, beş ay boyunca bu zafiyeti aktif olarak kullandı.

- **Yayın tarihi:** 2026-07-23 22:30
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Zimbra Güvenlik Açığı, Rus Casusluk Grubu
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/russian-espionage-group-exploited.html), [Dark Reading](https://www.darkreading.com/cyberattacks-data-breaches/russian-hackers-zimbra-zero-day-us-ukraine-targets)

![Rus Casusluk Grubu, Zimbra Açığını Kullanarak E-posta ve 2FA Kodlarını Çaldı](https://teknotayf.com/assets/uploads/2026/07/c1139c21498944bd0005d123c980eaf4.jpg)

Rus devlet destekli bir casusluk grubu, Zimbra webmail istemcisinde daha önce bilinmeyen bir açığı kullanarak aylar boyunca Batılı e-posta kutularını okudu. Güvenlik araştırmacıları tarafından "Laundry Bear" olarak izlenen grup, ABD ve Ukrayna'daki kuruluşları da hedef aldı.

Kötü amaçlı yazılım, son 90 günlük e-postaları, kuruluşun tüm e-posta dizinini, tarayıcıda kayıtlı şifreleri ve iki faktörlü kurtarma için saklanan kodları hedef aldı. Saldırının başlaması için e-postayı açmak yeterliydi; araştırmacılar bu tekniği "yarı tıklamalı" (half-click) olarak tanımlıyor.

NSA, CISA ve ortak kurumlar Perşembe günü Palo Alto Networks'ün Unit 42 ve Proofpoint araştırmalarına dayanarak kampanyayla ilgili ortak bir uyarı yayınladı.

Uyarıda, bu tekniğin 'savunmasız bir istemcide kötü amaçlı bir e-postayı görüntülemeyi gerektiren görünüm tabanlı bir istismar' olduğu belirtildi. Aktörlerin en az Temmuz 2025'ten bu yana Zimbra üzerinden Batılı hükümet ve ticari kuruluşları hedef aldığı ve ele geçirdiği ifade edildi.

**CVE-2025-66376** koduyla bilinen güvenlik açığı, Zimbra Classic UI'da depolanmış bir siteler arası betik çalıştırma (XSS) zafiyeti. Özel hazırlanmış bir HTML e-postası, CSS @import işleme mekanizmasını kötüye kullanarak kimliği doğrulanmış bir webmail oturumu içinde JavaScript çalıştırıyor. Böylece kötü amaçlı yazılım, kullanıcının posta kutusuna erişim yetkisini devralıyor.

İki CVSS kaydı, e-postayı görüntülemenin kullanıcı etkileşimi sayılıp sayılmayacağı konusunda farklı görüşte: NVD puanı 6.1 ve kullanıcı etkileşimi gerektirdiğini söylerken; MITRE puanı 7.2 ve gerektirmediğini belirtiyor. Unit 42 ise bunu sıfır tıklamalı (zero-click) olarak nitelendiriyor. Her üç kaynak da aynı davranışı tarif ediyor: Mesaj görüntülendiğinde çalışıyor ve başka bir işlem gerekmiyor.

Açık, Zimbra Collaboration 10.0'un 10.0.18 öncesi sürümlerini ve 10.1'in 10.1.13 öncesi sürümlerini etkiliyor. Zimbra, bu açığı 6 Kasım 2025'te giderdi. CISA ise 18 Mart 2026'da açığı Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Aktörü TA488 olarak izleyen Proofpoint, grubun bu açığı 2025 yılı boyunca en az beş ay boyunca bilinmeyen bir zafiyet olarak kullandığını belirtti.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/rus-casusluk-grubu-zimbra-acigini-kullanarak-e-posta-ve-2fa-kodlarini-caldi  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.