Yksi sähköpostin esikatselu riitti murtoon – Suomi auttoi polttamaan venäläisvakoojien nollapäivähaavoittuvuuden
Kyberturvallisuuskeskus avaa harvinaisen ikkunan siihen, miten haavoittuvuuksien ympärillä käytävä näkymätön kilpajuoksu toimii. Keskuksen kehyksessä sekuntiviisari lähtee liikkeelle jo silloin, kun ohjelmistovirhe syntyy, ei vasta kun joku löytää sen.
Tiivistelmä
Kyberturvallisuuskeskus kertoo osallistuneensa venäläisen Laundry Bear -vakoiluryhmän hyödyntämän Zimbra-nollapäivähaavoittuvuuden koordinoituun julkistukseen. Aukko mahdollisti sähköpostien, salasanojen ja 2FA-tunnisteiden varastamisen pelkällä viestin esikatselulla ilman linkkiä tai liitettä. Haavoittuvuus paikattiin marraskuussa 2025.
Ei linkkiä, ei liitettä, ei tunnusten syöttöä. Venäläisen vakoiluryhmän murtoon riitti, että vastaanottaja avasi sähköpostiviestin esikatseluun.
Tällainen ase on hyökkääjälle kallisarvoinen, ja juuri siksi sen menettäminen sattuu. Kyberturvallisuuskeskus avasi perjantaina Tietoturva Nyt -artikkelissaan poikkeuksellisen suoraan, miten Suomen viranomainen osallistui aukon polttamiseen koordinoidulla julkistuksella.
Keskuksen kehys on ajattelemisen arvoinen. Kilpajuoksu ei ala siitä, että haavoittuvuus löydetään, vaan jo sen syntyhetkestä, vaikkapa ohjelmistovirheestä tai epäonnistuneesta päivityksestä. Näkymätöntä kisaa hyökkääjien ja puolustajien välillä käydään siis jo silloin, kun kukaan ei vielä tiedä koko aukosta.
Poltettu nollapäivä on hyökkääjälle menetys. Kun paikkaus on ulkona ja tieto julkista, kallis työkalu menettää arvonsa.
Juhani Eronen, Kyberturvallisuuskeskuksen johtava asiantuntija, kuvaa keskuksen roolia tapauksessa näin.
– Informoimme hyökkäyksessä käytetystä nollapäivähaavoittuvuudesta nopeasti valmistajaa. Samalla välitimme tiedon haavoittuvuudesta kotimaisille ja kansainvälisille yhteistyökumppaneillemme.
Se, miten haavoittuvuus alun perin päätyi keskuksen tietoon, ei artikkelista käy ilmi. Keskus ei myöskään väitä löytäneensä aukkoa itse.
Koordinoitu haavoittuvuuden julkistus (coordinated disclosure)
Toimintamalli, jossa haavoittuvuuden löytäjä ja viranomaiset kertovat aukosta ensin valmistajalle ja antavat sille aikaa korjata virhe. Julkisuuteen tiedot tuodaan vasta, kun paikkaus on saatavilla, jotta rikolliset eivät ehdi hyödyntää aukkoa laajasti.
Esikatselu riitti
Kyse on Zimbra-sähköpostijärjestelmän Classic-käyttöliittymän haavoittuvuudesta CVE-2025-66376. CyberScoop ja The Hacker News kertovat, että hyökkääjät upottivat HTML-viestiin haitallista koodia CSS-tyylien @import-tempulla.
Kun uhri katsoi tai esikatseli viestiä, selain suoritti JavaScriptin huomaamatta. Mitään ei tarvinnut klikata.
Saalis oli kova. BleepingComputer kertoo hyökkääjien saaneen 90 päivän sähköpostit, osoitekirjan, salasanoja ja kaksivaiheisen tunnistautumisen tunnisteita. Pysyvyyden varmistamiseksi Zimbraan luotiin sovelluskohtaisia salasanoja, jotka toimivat takaovena vielä siivouksen jälkeenkin.
Aukkoa ehdittiin hyödyntää nollapäivänä arviolta heinäkuusta 2025 alkaen. Paikkaus julkaistiin marraskuussa 2025 versioissa ZCS 10.0.18 ja 10.1.13.
Hyökkäysten takana on Laundry Bear, Venäjän valtioon kytketty vakoiluryhmä. Suojelupoliisi ja sotilastiedustelu julkaisivat samana päivänä oman varoituksensa ryhmän toiminnasta, mistä kerromme erillisessä jutussa.
Nopeus ratkaisee
Miksi keskus raottaa kulisseja juuri nyt? Artikkelin viesti organisaatioille on hyvin arkinen: hyökkäyspinta minimiin, haavoittuvuuksien hallinta kuntoon, päivitykset ajallaan ja varoituksiin reagointi heti.
Puolustajan paras kortti tässä kisassa on aika. Mitä nopeammin tieto aukosta kulkee valmistajalle ja yhteistyökumppaneille, sitä lyhyemmäksi hyökkääjän etumatka jää.
Lukuja tai tilastoja keskus ei omassa kirjoituksessaan esitä. Ohimennen artikkeli toteaa myös tekoälyn nopean käyttöönoton kasvattavan hyökkäyspintaa, mutta ei rakenna sen varaan enempää.
Mitä tehdä
Zimbraa ylläpitäville organisaatioille ohjeet ovat selvät, ja ne koskevat nimenomaan ylläpitäjiä. Pelkkä paikkaus ei riitä, koska hyökkääjä on voinut jättää jälkeensä toimivia tunnuksia.
- Päivitä Zimbra vähintään versioon 10.0.18 tai 10.1.13.
- Resetoi käyttäjien salasanat ja mitätöi aktiiviset istunnot.
- Tarkasta lokeista, onko järjestelmään luotu tuntemattomia sovelluskohtaisia salasanoja.
- Ilmoita havainnoista Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Pitäisikö tavallisen sähköpostin käyttäjän nyt pelätä jokaista viestiä? Ei oikeastaan. Zero-click-hyökkäykset ovat harvinaisia ja kalliita, ja niitä käytetään tarkasti valikoituihin kohteisiin.
Valtaosa murroista alkaa toistaiseksi ihan tavallisesta kalastelusta, jossa uhri itse klikkaa linkkiä ja syöttää tunnuksensa. Sitä vastaan tavallinen valppaus toimii edelleen.
Lähteet
- Kyberturvallisuuskeskus (24.07.2026)
- CyberScoop (23.07.2026)
- The Hacker News (23.07.2026)
- BleepingComputer (23.07.2026)
- Suojelupoliisi (24.07.2026)