Microsoft Exchange Server のリモートコード実行の脆弱性（CVE-2021-26858）

何が起きた

Microsoft Exchange Server に、攻撃者が任意のプログラムを実行できる弱点が見つかり、実際の攻撃に使われていることが確認されています。CISA によると、この弱点は ProxyLogon と呼ばれる、いくつかの弱点を組み合わせた攻撃の一部で、ランサムウェアの攻撃にも使われたことが分かっています。NVD の評価では、悪用には対象の機器上での操作と、利用者の操作が必要とされています。Microsoft によると、攻撃の入り口は、外部からの信頼できない接続を受け付けるオンプレミスの Exchange Server です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、自社で運用している Exchange Server 2013、2016、2019 の、修正前の各 Cumulative Update（CU）が対象です。なお、Exchange Server 2013、2016、2019 は、Microsoft のライフサイクルの情報では、すでに延長サポートが終わっています。

何をすればいい

Microsoft が公開したセキュリティ更新（KB5000871）を適用し、公式の案内を確認してください。Microsoft は、外部に公開している Exchange Server から優先して更新するよう勧めています。すぐに更新できない場合の一時的な対策として、443 番ポートへの信頼できない接続を制限するか、VPN で外部から切り離す方法がありますが、これは攻撃の最初の段階しか防げません。サポートが終わった版は使い続けず、サポート中の版へ移ることも検討してください。

やることチェックリスト

• Exchange Server に KB5000871 を適用する
• 外部に公開している Exchange Server から先に更新する
• 443 番ポートへの信頼できない接続を制限する

用語メモ

ProxyLogon

Exchange Server の複数の弱点を組み合わせて、サーバーを乗っ取る攻撃の呼び名です。

オンプレミス

クラウドではなく、自社の建物やデータセンターに置いて運用するサーバーのことです。

Cumulative Update（CU）

それまでの修正をまとめて含む、Exchange Server の定期的な更新プログラムです。

VPN

インターネット上に、決まった人だけが通れる専用の通り道を作る仕組みです。