CISA发布紧急指令：联邦机构必须在周一前修补关键的Exchange漏洞。

网络安全和基础设施安全局 (CISA) 发布了一项紧急指令，命令所有联邦民事行政部门 (FCEB) 机构立即解决一个关键的 Microsoft Exchange 混合漏洞 CVE-2025-53786。各机构必须在2025年8月11日星期一美国东部时间上午9点前严格截止，实施必要的缓解措施。 这个严重缺陷允许对本地 Exchange 服务器拥有管理访问权限的攻击者横向渗透到微软云环境，可能导致组织整个域的完全攻陷。该漏洞影响 Microsoft Exchange Server 2016、2019 和订阅版，特别是在本地和云服务器共享信任关系的混合配置中。 这项紧急指令是在 Outsider Security 的安全研究员 Dirk-Jan Mollema 最近披露之后发布的，他在昨天（2025年8月7日）的 Black Hat 大会上演示了该漏洞的利用。微软随后与 Mollema 协调，发布了 CVE 并提供了缓解指南。 虽然微软此前已于2025年4月作为其“安全未来倡议”的一部分发布了热修复程序和指南，但 CISA 警告称，许多组织尚未完全实施所需步骤。缓解措施不仅仅是应用热修复程序；它需要手动后续操作才能迁移到专用的服务主体。 CISA 的紧急指令 25-02 要求联邦机构首先清点其 Exchange 环境，断开不受支持的服务器，然后将所有剩余服务器更新到最新的累积更新（Exchange 2019 为 CU14/CU15，Exchange 2016 为 CU23）并应用4月份的热修复程序。至关重要的是，管理员随后必须运行一个特定的 PowerShell 脚本 (ConfigureExchangeHybridApplication.ps1)，以从易受攻击的共享服务主体切换到专用服务主体。 各机构必须在周一上午完成这些技术修复，并在当天下午5点前向 CISA 提交合规报告。CISA 代理局长 Madhu Gottumukkala 强调了广泛的风险，敦促所有组织，而不仅仅是联邦机构，采取这些关键的安全措施，以防止潜在的混合环境泄露。

Read the English version (阅读英文版)

免责声明：本文内容来自互联网公开信息，请仔细甄别，如有侵权请联系我们删除。