Microsoft закрыла девять уязвимостей в Exchange Server, две из них позволяют выполнить код

Microsoft выпустила обновления для Exchange Server Subscription Edition, закрывающие девять уязвимостей. Две ошибки позволяют выполнить произвольный код на сервере, четыре дают повышение привилегий, ещё две связаны с подменой пользователя. Нидерландский центр кибербезопасности NCSC опубликовал уведомление NCSC-2026-0477 и рекомендовал установить патчи.

Девять ошибок в одном бюллетене

Список разбит на несколько групп по характеру ошибки. Две записи описывают выполнение кода, четыре - повышение привилегий, две - подмену пользователя, одна - отказ в обслуживании. У всех общий вектор атаки: сеть и низкая сложность эксплуатации. Это значит, что успех не зависит от редкого стечения обстоятельств или гонки условий.

Две ошибки ведут к выполнению кода

CVE-2026-118149 описывают как неправильный контроль генерации кода, CWE-94. Простыми словами: Exchange строит исполняемую конструкцию из данных, которыми может управлять атакующий, и не проверяет их должным образом. CVE-2026-118207 связана с некорректной проверкой входных данных, в записи указана CWE-706. Обе получили CVSS 8.8, обе требуют лишь низких привилегий и не требуют действий пользователя. Запрос уходит напрямую на сервер, поэтому фишинговая ссылка или вложение здесь не нужны.

Практический вывод простой: получив любую действующую учётную запись в почтовой системе, атакующий может попытаться перейти от неё к выполнению команд с правами процесса Exchange. Для периметрового сервера это означает полный контроль над почтовым ящиком и потенциально над смежными системами.

Четыре способа поднять права

Повышение привилегий представлено ошибками разной природы. CVE-2026-118150 - обход авторизации через ключ, которым управляет пользователь, CWE-639 и CVSS 8.8. CVE-2026-118154 - опора на недоверенные входные данные при принятии решения о доступе, CWE-807 и те же 8.8. В обоих случаях атакующему достаточно низких привилегий, а результат затрагивает конфиденциальность, целостность и доступность.

CVE-2026-118151 связана с внешним контролем имени файла или пути, CWE-73, CVSS 7.2. Здесь нужны высокие привилегии, но и эффект шире: подмена пути часто открывает доступ к файлам за пределами ожидаемого каталога. CVE-2026-118157 - слабая аутентификация, CWE-1390, CVSS 7.2, тоже при высоких привилегиях. Такие ошибки опасны не сами по себе, а как ступень: сначала обычный ящик, затем роль администратора, затем доступ к остальным ящикам.

Подмена пользователя и отказ в обслуживании

CVE-2026-118152 - межсайтовая подделка запроса, CWE-352, CVSS 6.5. Это единственная запись в списке, где нужен неавторизованный атакующий и участие пользователя. Схема классическая: сотрудник открывает подготовленную страницу, браузер прикладывает его сессионные cookie, Exchange выполняет действие от его имени. Целостность страдает, конфиденциальность и доступность по вектору не затронуты.

CVE-2026-118208 - некорректный контроль доступа, CVSS 7.1, подмена при низких привилегиях и без участия пользователя. CWE в записи не указана, вместо неё стоит общая категория. CVE-2026-118153 - неэффективная алгоритмическая сложность, CWE-407, CVSS 7.5. Это отказ в обслуживании: неавторизованный атакующий подаёт входные данные, которые обрабатываются неоправданно долго, и загружает сервер. Участие пользователя не требуется, привилегии тоже.

Условия атаки

Все девять записей имеют вектор сети. Сложность везде низкая, что убирает главный барьер для автоматизации. Дальше картина расходится. Три ошибки эксплуатируются без учётной записи: CSRF, отказ в обслуживании и, по описанию NCSC, часть сценариев подмены. Остальные требуют авторизованного атакующего, то есть действующего почтового ящика или учётной записи в домене.

Это важно для оценки риска. Если Exchange смотрит в интернет и позволяет внешнюю аутентификацию, порог входа минимален. Если доступ закрыт и почта работает только внутри сети, атакующему сначала нужно закрепиться на рабочей станции. Компромисс ящика обслуживающей службы или подрядчика в такой схеме даёт тот же эффект.

Что исправляет патч

Microsoft выпустила обновления, которые закрывают описанные ошибки. Затронуты версии Exchange Server Subscription Edition RTM начиная с 15.02.0.0. Исправленными считаются сборки 15.02.2562.057 и выше. Конкретные номера KB в записях CVE не приведены, вендор отсылает к своему руководству по безопасности.

Обходных мер Microsoft в записях не публиковала. Это стоит учитывать при планировании: если тестирование патча затягивается, изоляция сервера остаётся единственным надёжным вариантом. Отключение внешнего доступа к ECP и PowerShell, ограничение OWA и ActiveSync по адресам и включение многофакторной аутентификации снижают поверхность, но не устраняют ошибки в коде.

Затронутые версии

В записях CVE указана одна ветка: Exchange Server Subscription Edition, версии ниже 15.02.2562.057. Другие редакции, включая Exchange Server 2016 и 2019, в этих записях не упомянуты. Это не значит, что они не затронуты. Проверять нужно по бюллетеню вендора и по установленной сборке конкретного сервера, а не по общей таблице совместимости.

Данных об эксплуатации нет

На момент публикации NCSC не сообщает о случаях реального использования этих уязвимостей. Записи CVE не содержат упоминаний эксплуатации, публичных Proof-of-Concept и включения в каталог известных эксплуатируемых уязвимостей CISA. Это не повод откладывать обновление: две ошибки с оценкой 8.8 не требуют ни учётных данных высокого уровня, ни действий пользователя, а такие условия обычно привлекают сканеры в течение нескольких недель после публикации.

Если обновиться нельзя

Вендорских обходных мер нет, поэтому придётся опираться на изоляцию. Первое: убрать публикацию ECP и PowerShell на внешний периметр, оставив доступ через VPN. Второе: ограничить OWA, ActiveSync и автодiscover по спискам адресов, если внешняя почта не нужна всем. Третье: включить многофакторную аутентификацию и убрать устаревшие протоколы аутентификации, которые обходят её.

Дополнительно стоит усилить журналирование. Ищите аномальные обращения к ECP, попытки смены ролей и подозрительные запросы от учётных записей служб. Наконец, держите Exchange в отдельном сегменте сети: это не устраняет уязвимости, но ограничивает последствия выполнения кода с правами процесса.