米政府、「Exchange Server」脆弱性で緊急指令 - 週末返上での対応求める

米政府は、「Microsoft Exchange Server」のハイブリッド構成に脆弱性「CVE-2025-53786」が確認された問題で、緊急指令「ED 25-02」を発行した。現地時間8月11日までの対応を求めている。

「CVE-2025-53786」は、「Exchange Server」をオンプレミスと「Microsoft 365」でハイブリッド構成としている場合に影響を受ける脆弱性。

マイクロソフトでは4月に構成変更のホットフィクスを公開し、セキュリティ強化のガイダンスを公開していたが、その後の調査で脆弱性であると判断。「CVE-2025-53786」を採番し、現地時間2025年8月6日にセキュリティアドバイザリを定例外で公開した。

4月に提供されたホットフィクスが適用されていないハイブリッド環境では、オンプレミス環境で「Exchange Server」の管理者権限を取得された場合、クラウド環境の「MS365 Exchange Online」に対する横展開が可能となり、影響が大きく拡大するおそれがある。

同問題を受け、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では影響の大きさを考慮し、緊急指令「ED 25-02」を発行した。

（Security NEXT - 2025/08/08 ）ツイート