オンラインに公開されている 29,000 台を超える Exchange サーバーには、マイクロソフトのクラウド環境内で攻撃者が横方向に移動できる可能性があり、ドメインの完全な侵害につながる可能性がある、深刻度の高い脆弱性に対するパッチが適用されていない。
このセキュリティ上の欠陥（CVE-2025-53786として追跡されている）は、オンプレミスのExchangeサーバーへの管理アクセスを獲得した脅威行為者が、信頼されたトークンまたはAPIコールを偽造または操作することによって、組織の接続されたクラウド環境内で特権を昇格させることを支援するものです。
CVE-2025-53786は、Exchange Server 2016、Exchange Server 2019、および永久ライセンスモデルをサブスクリプションベースに置き換えたMicrosoft Exchange Server Subscription Editionのハイブリッド構成に影響します。
この欠陥は、マイクロソフトが2025年4月に「セキュア・フューチャー・イニシアチブ」の一環としてガイダンスと ExchangeサーバーのHotfixを 公開した後に明らかになったもので、これまでオンプレミスのExchange ServerとExchange Onlineで使用されていた安全でない共有IDに代わり、専用のハイブリッドアプリを使用した新しいアーキテクチャをサポートする。
レドモンド社は、攻撃における悪用の証拠をまだ発見していないものの、一貫した悪用を可能にするエクスプロイトコードが開発される可能性があり、攻撃者にとっての魅力が高まると考えているため、この脆弱性は依然として「Exploitation More Likely（悪用の可能性が高い）」とタグ付けされている。
セキュリティ脅威監視プラットフォームShadowserverのスキャンによると、29,000台以上のExchangeサーバーが、潜在的なCVE-2025-53786攻撃に対するパッチがまだ適用されていない。
8月10日に検出された合計29,098台のパッチ未適用のサーバーのうち、7,200以上のIPアドレスが米国で、6,700以上のIPアドレスがドイツで、2,500以上のIPアドレスがロシアで検出された。
連邦政府機関が週末に緩和を指示
マイクロソフトがこの脆弱性を公表した1日後、CISAは 緊急指令25-02を発表し、国土安全保障省、財務省、エネルギー省を含むすべての連邦民間行政機関（FCEB）に対し 、この深刻度の高いMicrosoft Exchangeの脆弱性を月曜午前9時（東部標準時）までに緩和するよう命じた 。
連邦政府機関は、まずマイクロソフトのHealth Checkerスクリプトを使用してExchange環境のインベントリを作成し、2025年4月のHotfixでサポートされなくなったExchange Serverのエンドオブライフ（EOL）バージョンやサービス終了バージョンのような、パブリック向けのサーバーをインターネットから切り離すことで、この欠陥を緩和する必要がある。
残りのすべてのサーバーは、最新の累積的更新プログラム（Exchange 2019の場合はCU14またはCU15、Exchange 2016の場合はCU23）に更新し、マイクロソフトの4月のHotfixでパッチを当てる必要がある。
木曜日に発表された別の勧告で、米国のサイバーセキュリティ機関は、CVE-2025-53786の緩和を怠ると、”ハイブリッドクラウドとオンプレミスの全ドメインの危険につながる “と警告した。
政府機関以外の組織は緊急指令25-02に基づく対策を講じる必要はないが、CISAはすべての組織に対し、潜在的な攻撃からシステムを保護するために同様の対策を講じるよう促した。
「このマイクロソフト・エクスチェンジの脆弱性に関連するリスクは、この環境を使用しているすべての組織と部門に及んでいる」とCISAのマドゥ・ゴットゥムッカラ所長代理は述べた。
「連邦政府機関には義務付けられていますが、すべての組織がこの緊急指令にある措置を採用するよう強く求めます」。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
パイカス・ブルー・レポート2025年版はこちらパスワード・クラッキングが2倍増加
46％の環境でパスワードがクラックされ、昨年の25％からほぼ倍増。
今すぐPicus Blue Report 2025を入手して、予防、検出、データ流出の傾向に関するその他の調査結果を包括的にご覧ください。
Comments