Exchange Server提權攻擊漏洞還有2.9萬臺系統曝險

微軟4月份解決能造成混合環境下提權（Escalation of Privilege, EoP）攻擊的Exchange Server漏洞，但安全專家發現，截至目前全球還有近3萬臺系統未安裝更新。

微軟今年4月宣布對Exchange Server及Exchange Online混合部署環境做了一些安全性變更及發布相關hot fix，這項變更實則解決了一項安全漏洞，只是微軟上周才公布漏洞名稱及細節。CVE-2025-53786為一項提權攻擊漏洞，能讓取得Exchange Server管理員權限的攻擊者，透過假造或操弄token或API呼叫，就能在同一組織連結的雲端Exchange上提升權限而不會留下跡證。這項漏洞風險值CVSS 8.0。如果企業管理員當時按照建議，就能解決這項漏洞。

但根據非營利組織The Shadowserver研究人員掃瞄結果，從IP位址來看，未安裝修補程式的Exchange Server一直處於近2.9萬，未曾明顯減少。到8月10日，依然還有29,098個IP。其中歐洲以1.4萬個占最大比例，北美和亞洲次之，各有近8,400及5,000個IP。

本漏洞影響Exchange Server 2016、2019及Subscription Edition（SE）。美國網路安全暨基礎架構安全管理署（CISA）已發布緊急指令，要求聯邦政府機關以微軟提供的Exchange Server Health Checker script完成系統盤點、安裝Exchange Hotfix Updates更新、Exchange Server 2019要更新到CU14、15，Exchange Server 2016升級到CU23，並關閉過了生命周期（EoL）的老舊Exchange Server。

民間企業也可以循同樣方法強化Exchange Server防護。