Microsoft Exchange: Sıfır gün güvenlik açığı saldırı altında

Microsoft, Exchange'de halihazırda saldırı altında olan sıfır gün güvenlik açığı konusunda uyarıyor. Güncellenen yazılım henüz mevcut değil. Ancak Microsoft, yöneticilerin mümkün olduğu kadar çabuk uygulaması gereken karşı önlemler sunmaktadır.

Güvenlik açığı açıklamasında Microsoft, bunun web sayfaları oluşturulurken girişin yetersiz filtrelenmesinden kaynaklandığını, yani siteler arası komut dosyası çalıştırma güvenlik açığı olduğunu açıklıyor. Bu, ağdaki kimliği doğrulanmamış saldırganların kimlik sahtekarlığı saldırıları gerçekleştirmesine olanak tanır (CVE-2026-42897, CVSS 8.1risk”yüksek“). Ancak Microsoft, ciddiyeti şu şekilde sınıflandırır: “kritik“Microsoft'un Exchange ekibinin bir blog gönderisi bunu ve karşı önlemleri daha ayrıntılı olarak açıklıyor.

Saldırı senaryosu

Güvenlik açığının özellikle Outlook Web Access'i (OWA) etkilediği görülüyor. Microsoft, saldırganların kurbanlara manipüle edilmiş e-postalar gönderebileceğini belirtiyor. Kullanıcılar e-postayı OWA'da açtığında ve belirli, belirtilmemiş etkileşim koşulları karşılandığında, tarayıcıda isteğe bağlı JavaScript yürütülür.

Exchange Server 2016, 2019 ve Exchange Server Subscription Edition (SE) herhangi bir güncelleme düzeyinde etkilenir. Ancak Microsoft yazılım güncelleştirmeleri sağlamaz. Ancak Exchange Acil Durum Azaltma (EM) hizmeti aracılığıyla otomatik bir düzeltme mevcuttur. Hizmetin etkin olduğu durumlarda Microsoft, karşı önlemleri zaten uygulamıştır. Hizmet Eylül 2021'den beri dağıtılmaktadır ve varsayılan olarak etkindir. Blog yazısında Microsoft ayrıca manuel bir varyantı da gösteriyor.

CVE-2026-42897 güvenlik açığını kontrol altına almaya yönelik karşı önlemlerin, yöneticilerin bilmesi gereken bazı yan etkileri vardır. OWA'da takvim yazdırma artık çalışmayabilir. Satır içi görüntüler artık alıcı panelinde doğru şekilde görüntülenmiyor. OWA Light artık düzgün bir şekilde çalışamıyor; ancak bu zaten eski ve “kullanımdan kaldırılmış” bir durum. Redmond şirketi, karşı önlemin, hafifletme ayrıntılarında mevcut Exchange sürümü için geçersiz olduğunu da gösteriyor; tamamen kozmetik olduğunu garanti ediyor. Durum olarak “Uygulandı” görüntüleniyorsa etkili bir şekilde uygulanmıştır.

Exchange ekibi şu anda kalıcı ve uygun bir düzeltme üzerinde çalışıyor. Bu, gelecekte Exchange SE RTM, Exchange 2016 CU23 ve Exchange Server 2019 CU14 ve CU15 için bir güncelleme olarak görünecektir. Ancak Exchange 2016 veya 2019 kullanan herkesin ikinci düzey genişletilmiş güvenlik güncellemelerine (ESU) abone olması gerekir. Microsoft, Acil Durum Azaltma Hizmeti hakkında daha fazla ayrıntıyı kendi web sitesinde sağlar.

(DMK)