微軟為 Exchange Server 發布帶外補丁，管理員需要緊急申請

如果您正在管理內部部署的 Exchange Server（2013、2016、2019），則需要緊急應用 Microsoft 今天發布的一組補丁，以解決正在被積極利用的操作系統中的漏洞。

這些漏洞的嚴重性評分為 9.1，很容易被利用。

“這些漏洞很容易被利用，”發現這些漏洞的 Volexity 總裁 Steven Adair 說。 “你不需要任何關於這些漏洞的特殊知識。 你只是出現並說'我想闖入並閱讀他們所有的電子郵件。 這裡的所有都是它的。”

CVE-2021，26855 是一個“服務器端請求偽造”(SSRF) 缺陷，在該缺陷中，服務器可以被誘騙運行它本不應該被允許運行的命令，例如作為 Exchange 服務器本身進行身份驗證。

攻擊者使用 CVE-2021，26857 在目標 Exchange 服務器上的“系統”帳戶下運行他們選擇的代碼。 另外兩個零日缺陷—— CVE-2021，26858 和 CVE-2021，27065 — 可能允許攻擊者將文件寫入服務器的任何部分。

微軟稱他們稱之為國家資助的中國黑客組織 鉿一直在利用這些缺陷， 但現在它已經發布，任何運行的磨坊黑客都無法接管您的網絡。

託管的 Exchange 服務器不受影響。

通過 克雷布森安全。