Правительственные агентства выпустили экстренное руководство для Microsoft Exchange Server

Если ваша команда все еще использует Microsoft Exchange Server, воспринимайте это как пожарную тревогу.

Четыре крупных агентства по кибербезопасности опубликовали руководство, раскрывающее реальность атак на Exchange. Австралийский центр кибербезопасности предупредил, что среды Exchange постоянно подвергаются атакам и их следует рассматривать как находящиеся под непосредственной угрозой. Microsoft прекратила поддержку предыдущих версий Exchange 14 октября, в результате чего бесчисленное количество организаций подвергаются атакам злоумышленников.

Вдобавок ко всему, критическая проблема в службе Windows Server Update Service вызвала экстренные исправления после того, как активные попытки эксплуатации поразили несколько организаций, согласно данным Агентство США по кибербезопасности и безопасности инфраструктуры.

Статистика атак

Цифры уродливы и не абстрактны. Microsoft Exchange Server 16 раз появляется в каталоге известных эксплуатируемых уязвимостей CISA с 2021 года, причем 12 из этих уязвимостей активно используются в кампаниях по вымогательству. Злоумышленники и киберпреступники из национальных государств наводняют эти системы, что превращает их в первоклассную площадку для изощренных атак.

Компании, использующие неподдерживаемые версии Exchange, теперь сталкиваются с беспрецедентными рисками компрометации. Microsoft Exchange Server Subscription Edition остается единственной поддерживаемой локальной версией после прекращения поддержки предыдущих версий 14 октября. Аналитики по анализу угроз подчеркивают, что среды с истекшим сроком эксплуатации работают с повышенным риском компрометации и легкими точками входа, которыми активно пользуются злоумышленники.

Сотрудничество четырех стран в области безопасности

АНБ, CISA, Центр кибербезопасности Австралии и Киберцентр Канады совместно опубликовали комплексные методы обеспечения безопасности для усиления Exchange. Необычный уровень координации и явный признак того, насколько серьезной стала угроза.

Руководство сосредоточено на трех столпах защиты: усилении аутентификации пользователей за счет многофакторной реализации, обеспечении надежного сетевого шифрования с помощью конфигураций TLS и уменьшении возможностей атак на приложения. Он не привязан ни к одной ошибке нулевого дня или заголовку. Вместо этого исполнительный помощник директора CISA подчеркнул, что организации сталкиваются с постоянными угрозами, которые требуют немедленных действий.

Этот план основан на Чрезвычайной директиве CISA 25-02 и рекомендует методы превентивного предотвращения для прямого противодействия киберугрозам, уделяя особое внимание защите конфиденциальной информации и коммуникаций на локальных серверах Exchange как части гибридных сред Exchange.

Несколько слов о WSUS

ИТ-команды испытывают трудности после того, как критическая уязвимость службы Windows Server Update Service, отслеживаемая как CVE-2025-59287, спровоцировала массовые попытки эксплуатации в последние недели. Ситуация обострилась, когда первоначальный патч Microsoft в середине октября полностью провалился, что привело к экстренному внешнему обновлению безопасности в конце прошлой недели.

Аналитики угроз сообщают, что злоумышленники взломали системы, провели разведку и украли конфиденциальные данные из нескольких организаций. Группа анализа угроз Google расследует атаки на многочисленные организации, а специалисты Eye Security подозревают, что эти кампании координируют несколько групп угроз.

Активность быстро пошла на убыль, но не раньше, чем несколько организаций подверглись серьезной угрозе. CISA выпустило обновленное руководство, которое призывает группы безопасности реагировать на угрозу максимально срочно, включая специальные команды PowerShell для проверки того, установлен ли WSUS, и для идентификации серверов, доступных через TCP-порты 8530 и 8531.

Следующие шаги

Поставь кофе и иди сейчас. Специалисты по безопасности подчеркивают, что применение экстренного исправления Microsoft и выполнение рекомендаций агентств могут стать решающим фактором между защитой и компрометацией.

CISA настоятельно рекомендует использовать облачные службы электронной почты вместо управления сложной локальной коммуникационной инфраструктурой. Наиболее эффективная защита требует обеспечения того, чтобы на всех серверах Exchange работали последние версии с текущими накопительными обновлениями.

ИТ-командам следует немедленно вывести из эксплуатации серверы Exchange с истекшим сроком эксплуатации в гибридных средах, поскольку сохранение устаревших серверов резко увеличивает риски нарушения безопасности. CISA подчеркивает, что поддержка только одного последнего сервера Exchange, который не поддерживается в актуальном состоянии, может подвергнуть атакам целые организации.

На прошлой неделе Платформа облачных вычислений Azure удалил длинный список сервисов от Xbox Live и Microsoft 365 до критически важных систем для авиакомпаний и банков.