「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ

同社は、「Exchange Server」のハイブリッド構成に関するセキュリティガイドと、構成を変更するホットフィクスを2025年4月18日にリリースしていたが、同問題について調査を行い、ホットフィクスによる構成変更が脆弱性の回避に相当すると判断。今回あらたにCVE番号を割り当てたと説明している。

またCVEの付番とともにアドバイザリを公開し、従来のホットフィクスを修正プログラムとしてアナウンスし、適用するよう求めた。あわせてパッチの適用後は、必ずクラウド専用のサービスプリンシパルを使用するよう構成を変更し、サービスプリンシパルのキー情報をリセットするよう呼びかけている。

同社はアドバイザリを公開した8月6日の時点で同脆弱性の悪用は確認されていないとする一方、今後悪用される可能性が高いと評価している。

同問題を受けて米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）も注意喚起を行った。脆弱性を悪用された場合、組織に大きな影響を及ぼすおそれがあるとして警鐘を鳴らしている。

またサポートが終了したバージョンの「Exchange Server」「SharePoint Server」については、インターネットから切断することを強く推奨している。

お詫びと訂正：本記事初出時の記載では、あらたな修正プログラムが公開されたとのニュアンスでしたが、今回のアドバイザリでは、従来セキュリティ更新プログラムとはされていなかったホットフィクスを脆弱性対策として適用するよう求める内容であり、記事の一部を見直しました。ご迷惑をおかけした読者、関係者のみなさまにお詫びし、訂正いたします。

（Security NEXT - 2025/08/07 ）ツイート

「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ

関連リンク

PR

関連記事