E meta e Microsoft Exchange lejoi sulmuesit të lexonin kutitë postare të të tjerëve
Microsoft ka publikuar përditësime sigurie jashtë radhe për Microsoft Exchange Server për të mbyllur një dobësi me rrezikshmëri të lartë që mund t'i lejonte një sulmuesi të vërtetuar të lexonte postën elektronike të njerëzve të tjerë. Dobësia, e identifikuar si CVE-2026-96940, ka një pikë CVSS prej 8.8 nga 10. Një përditësim jashtë radhe është ai që publikohet jashtë orarit të rregullt mujor të arnimeve, sepse rreziku është mjaft serioz për të kërkuar veprim të menjëhershëm.
Sipas njoftimit të Microsoft-it të datës 2 tetor 2026, e meta buron nga autorizimi i dobët në Exchange Server. Autorizimi është procesi që vendos se çfarë lejohet të bëjë një përdorues i regjistruar. Një sulmues i vërtetuar, domethënë dikush që tashmë ka kredenciale të vlefshme për çdo llogari në organizatë, mund ta shfrytëzojë këtë dobësi përmes rrjetit. Pasi shfrytëzohet, sulmuesi mund të ngrejë privilegjet e tij dhe të fitojë akses të paautorizuar në kutitë postare të përdoruesve të tjerë brenda së njëjtës organizatë. Ai mund të lexojë mesazhe elektronike dhe bashkëngjitje, por dobësia nuk lejon akses ndërmjet qiramarrësve të ndryshëm, kështu që një kompani nuk mund të arrijë postën e një kompanie tjetër.
Microsoft ka vendosur tashmë një rregullim të lidhur në anën e shërbimit për Exchange Online, shërbimin e tij të postës elektronike të pritur. Klientët e Exchange Online nuk kanë nevojë të ndërmarrin asnjë veprim, sepse rregullimi aplikohet automatikisht në infrastrukturën e Microsoft-it. Megjithatë, organizatat që ekzekutojnë Exchange Server në pajisjet e tyre (on-premises) duhet t'i instalojnë vetë përditësimet. Versionet e prekura janë Microsoft Exchange Server Subscription Edition RTM, Microsoft Exchange Server 2016 Cumulative Update 23, Microsoft Exchange Server 2019 Cumulative Update 15 dhe Microsoft Exchange Server 2019 Cumulative Update 14. Një përditësim kumulativ është një paketë që përfshin të gjitha rregullimet e mëparshme për atë version, kështu që instalimi i të fundit e sjell serverin në gjendjen më të përditësuar.
Microsoft ia atribuoi zbulimin dhe raportimin e dobësisë studiuesit të vet, Jan Mitchell. Edhe pse Microsoft thotë se nuk ka prova që dobësia është përdorur në sulme reale deri tani, ai i caktoi një vlerësim shfrytëzueshmërie "Shfrytëzim më i mundshëm". Kjo etiketë do të thotë se kompania beson se sulmuesit ndoshta do të zhvillojnë një shfrytëzim funksional, kështu që administratorët duhet të lëvizin shpejt. Fakti që një sulmuesi i duhet vetëm një llogari e vlefshme, jo të drejta administratori, e rrit rrezikun praktik: shumë organizata kanë llogari përdoruesish që mund të vidhen përmes phishing-ut ose të vidhen, dhe sapo një llogari komprometohet, një sulmues mund ta përdorë këtë dobësi për të arritur postën e njerëzve të tjerë.
Për ekipet e IT-së, hapi i menjëhershëm është të rishikojnë se cili version i Exchange Server dhe cili përditësim kumulativ janë në përdorim dhe të aplikojnë përditësimin jashtë radhe pa vonesë. Pas arnimit, ekipet duhet të shqyrtojnë cilësimet e lejeve të kutisë postare dhe regjistrat e auditimit për çdo akses të pazakontë në kutitë postare që përdoruesi i regjistruar nuk duhej t'i hapte. Zbatimi i vërtetimit me shumë faktorë gjithashtu zvogëlon mundësinë që vetëm një fjalëkalim i vjedhur të përdoret për të filluar një sulm. Meqenëse Exchange Online tashmë është i mbrojtur, organizatat me konfigurime hibride duhet të konfirmojnë që serverët e tyre on-premises janë të arnuar dhe që çdo lidhës ose mjet sinkronizimi nuk e ekspozon shërbimin e cenueshëm në internet pa nevojë.
Mbajtja e serverëve on-premises Exchange të përditësuar është një punë e vazhdueshme, jo një arnim një herë. Udhëzuesi i rregullt i përditësimeve të sigurisë i Microsoft-it dhe faqja e shëndetit të Exchange Server listojnë përditësimet kumulative të mbështetura dhe problemet e njohura. Organizatat që menaxhojnë serverë on-premises Exchange duhet të konfirmojnë se cili përditësim kumulativ është i instaluar dhe t'i ndjekin këto arnime jashtë radhe si pjesë e higjienës së sigurisë; AEU-I, shërbimi ynë i konsulencës për IT dhe infrastrukturë me sigurinë në radhë të parë, i ndihmon ekipet të planifikojnë dhe verifikojnë pikërisht këtë lloj pune me arnime dhe kontroll aksesi. Abonimi në njoftimet e sigurisë së shitësit dhe testimi i përditësimeve në një mjedis provë përpara vendosjes në prodhim janë gjithashtu praktika standarde që zvogëlojnë kohën e ndërprerjes dhe ekspozimin.