Tusenvis av Microsoft Exchange-servere stod ubeskyttet

Situasjonen med ubeskyttede Microsoft Exchange-servere har tatt en kritisk vending. Nesten 29 000 servere er fortsatt upatchet, til tross for at CISAs akutte frist raskt nærmer seg.

Utbredt risiko før fristen

Tidlig mandag viste offentlige skanninger at omtrent 29 000 upatchede Microsoft Exchange-servere var eksponert mot internett. Disse serverne er sårbare for en alvorlig feil – CVE-2025-53786 – som kan gjøre det mulig for angripere å eskalere privilegier og kompromittere det tilkoblede skymiljøet.

CISAs akutte direktiv

Som svar har Cybersecurity and Infrastructure Security Agency (CISA) utstedt det akutte direktivet 25-02, som krever at alle føderale etater patcher eller avbøter denne sårbarheten og rapporterer tilbake innen klokken 09:00 EDT 11. august 2025. Myndighetene må installere hotfikser, koble fra utdaterte servere og kjøre Microsoft Exchange Health Checker-skriptet for å sikre at kravene oppfylles og at sikkerheten er ivaretatt.

Hvorfor trusselen er så alvorlig

Sårbarheten rammer hybridoppsett av Exchange, og gjør det mulig for en angriper med administrativ tilgang lokalt å trenge inn i Microsoft 365-miljøer i skyen. Den delte tjenesteidentiteten mellom Exchange Server og Exchange Online gjør denne eskaleringen diskret og vanskelig å oppdage.

Risikoen øker fordi ondsinnet aktivitet kanskje ikke etterlater tydelige logger i skymiljøet, noe som gjør det svært utfordrende å oppdage.

Globalt omfang og konsekvenser

Shadowservers skanninger viser også globale konsekvenser: over 28 000 hybride Exchange-installasjoner er fortsatt upatchet, med berørte servere i blant annet USA, Tyskland, Russland og flere andre land.

Hva organisasjoner må gjøre nå

• Installer april 2025-hotfiksen eller nyere kumulative oppdateringer
• Gå over til den dedikerte Exchange Hybrid-appen
• Tilbakestill delte tjenesteidentiteter dersom de ikke lenger er nødvendige
• Kjør Microsofts Health Checker og koble fra alle servere som ikke støttes
• Implementer sanntidsovervåking og logging for å avdekke skjulte angrep

Dette er ikke valgfrie tiltak – å unnlate å handle utsetter organisasjoner for risikoen for kompromittering på domenenivå, både i sky- og lokalmiljøer.

Konklusjon

Krisen med ubeskyttede Microsoft Exchange-servere eskalerer. Med nesten 29 000 servere fortsatt eksponert og CISAs frist bare timer unna, står organisasjoner overfor alvorlige trusler. Hvis sårbarhetene utnyttes, kan angripere stille infiltrere skymiljøer. Å handle raskt er ikke valgfritt – det er helt nødvendig.