Die Einordnung durch CISA erfolgte auf Basis von Belegen für aktive Ausnutzung. Zusammen mit der Aufnahme in den KEV-Katalog wies die Behörde die zivilen Bundesbehörden (Federal Civilian Executive Branch) an, ihre Zimbra-Server innerhalb von drei Tagen bis zum 23. April abzusichern.
Shadowserver meldete unterdessen, dass weiterhin über 10.500 öffentlich erreichbare Zimbra-Server ungepatcht sind. Die meisten davon stehen in Asien (3.794) und Europa (3.793). Details zu den konkreten Angriffen über CVE-2025-48700 nannte CISA nicht.
Bekannt ist hingegen mehr zu einer weiteren XSS-Schwachstelle in Zimbra. Diese wird als CVE-2025-66376 geführt und wurde Anfang November gepatcht. Nach Angaben der Sicherheitsforscher von Seqrite Labs nutzte die staatlich unterstützte Gruppe APT28 (auch Fancy Bear oder Strontium genannt) sie in Phishing-Angriffen gegen ukrainische Regierungsstellen aus, die im Januar begannen.
Die von Seqrite Labs als Operation GhostMail bezeichnete Kampagne richtete sich unter anderem gegen die ukrainische Hydrologie-Behörde, eine dem Infrastrukturministerium unterstellte Einrichtung der kritischen Infrastruktur, die Navigations-, See- und hydrografische Dienste bereitstellt. Beim Öffnen der präparierten E-Mails in einer verwundbaren Zimbra-Webmail-Sitzung wurde ein verschleierter JavaScript-Payload ausgeliefert.
„Die Phishing-E-Mail enthält keine schädlichen Anhänge, keine verdächtigen Links, keine Makros. Die gesamte Angriffskette steckt im HTML-Körper einer einzigen E-Mail, es gibt keine schädlichen Anhänge", erklärte Seqrite Labs.
Zimbra-Schwachstellen werden regelmäßig für Angriffe missbraucht und dienten in den vergangenen Jahren dazu, Tausende verwundbarer E-Mail-Server zu kompromittieren. So nutzte die russische Gruppe Winter Vivern im Februar 2023 einen weiteren reflektierten XSS-Exploit, um Zimbra-Webmail-Portale zu kompromittieren und E-Mails von NATO-nahen Organisationen und Personen abzugreifen, darunter Militärangehörige, Regierungsvertreter und Diplomaten.
Im Oktober 2024 warnten US- und britische Cyberbehörden zudem davor, dass die mit dem russischen Auslandsgeheimdienst SVR in Verbindung gebrachte Gruppe APT29 (auch Cozy Bear oder Midnight Blizzard) verwundbare Zimbra-Server „in großem Maßstab" ins Visier nahm. Dabei wurde eine Schwachstelle ausgenutzt, die zuvor bereits zum Diebstahl von Zugangsdaten für E-Mail-Konten missbraucht worden war.