Microsoftは3月3日、Exchange Serverに複数の脆弱性が見つかり、これを悪用する限定的な標的型サイバー攻撃が確認されたとして、定例外でセキュリティ更新プログラムを公開した。
同社によると、脆弱性はMicrosoft Exchange Server 2013、同2016、同2019に存在する。セキュリティ更新プログラムはこれら製品に加え、Exchange Server 2010にも多層防御の観点から配信される。なお、Exchange Onlineは脆弱性の影響を受けないという。
攻撃の初期段階では、Exchange Serverの443ポートへの信頼されていない接続を確立する必要があり、脆弱性の影響を緩和する方法として、信頼されていない接続を制限したり、VPNでExchange Serverの外部アクセスを切り離したりすることを挙げている。この緩和策は攻撃の初期段階に対してのみ有効だとする。
複数ある脆弱性のうち4件は既に攻撃での悪用が確認され、攻撃者が既にアクセスしたり管理者権限を確保したりしている状態では、さらに攻撃の段階が進んでいる恐れもある。同社では、外部ネットワークに接続するExchange Serverへのセキュリティ更新プログラムの適用を優先してほしいと呼びかけている。
