Microsoft Exchange Server XSS-hibája hamisítást tesz lehetővé (CVE-2026-70279)

Mi történt

A CVE-rekord a CVE-2026-70279 azonosítójú hibát a weboldalak előállítása során a bemeneti adatok nem megfelelő semlegesítéseként, azaz webhelyek közötti szkriptelési (cross-site scripting, XSS) gyengeségként írja le a Microsoft Exchange Serverben. A Microsoft közlése szerint egy jogosulatlan támadó ezt a hibát hálózaton keresztül hamisításra használhatja.

A CVSS 3.1 vektor alapján a hiba hálózaton keresztül érhető el, a támadás összetettsége alacsony, és a kihasználáshoz nincs szükség jogosultságra. A felhasználónak viszont interakcióba kell lépnie a támadó által irányított tartalommal. A vektor magasnak jelöli a bizalmasságra és a sértetlenségre gyakorolt hatást, a rendelkezésre állásra gyakorolt hatást pedig nem jelöli.

A CISA nem vette fel ezt a sérülékenységet a Known Exploited Vulnerabilities (ismerten kihasznált sérülékenységek) katalógusába, és a Microsoft sem közölte, hogy a sérülékenységet jelenleg kihasználnák. A Microsoft biztonsági frissítési útmutatója fontos besorolásúnak minősíti a hibát; a CVE-rekord 9,3-es CVSS-alappontszámot rendel hozzá.

Kit érint

Az alábbi Microsoft Exchange Server-buildek érintettek:

• Exchange Server 2016 Cumulative Update 23: 15.01.0.0 verziótól a 15.01.2507.077 verzió előtti verziókig
• Exchange Server 2019 Cumulative Update 14: 15.02.0.0 verziótól a 15.02.1544.050 verzió előtti verziókig
• Exchange Server 2019 Cumulative Update 15: 15.02.0.0 verziótól a 15.02.1748.055 verzió előtti verziókig
• Exchange Server Subscription Edition RTM: 15.02.0.0 verziótól a 15.02.2562.056 verzió előtti verziókig

Az Exchange Server a helyben üzemeltetett levelező- és naptárplatform, amelyet gyakran a webes Outlookkal és az Exchange felügyeleti központtal együtt használnak. Az ezeket a buildeket futtató szervezeteknek érintettnek kell tekinteniük magukat mindaddig, amíg nem telepítik a megfelelő 2026. októberi frissítést.

Mit kell most tenni

1. Telepítse a Microsoft 2026. októberi biztonsági frissítését, amely az Ön Exchange Server-verziójának megfelel:

• Exchange Server 2016 CU23: 15.01.2507.077 (KB5128898)
• Exchange Server 2019 CU14: 15.02.1544.050 (KB5128897)
• Exchange Server 2019 CU15: 15.02.1748.055 (KB5128896)
• Exchange Server Subscription Edition RTM: 15.02.2562.056 (KB5128895)

1. A Microsoft biztonsági közleménye nem tesz közzé kerülő megoldást, ezért a biztonsági javítások telepítése az elsődleges elhárítási lépés.
2. A CVSS-vektor felhasználói interakciót is rögzít, ezért emlékeztesse munkatársait, hogy a váratlan üzeneteket és webes hivatkozásokat körültekintően kezeljék, különösen az Exchange bejelentkezési oldalainál.

A javításon túl

A hálózatról elérhető Exchange Server-hiba mindenekelőtt kitettségkezelési probléma. A Virtuális CISO szolgáltatás (vCISO) segíthet feltérképezni az Ön hálózatáról elérhető Exchange-szolgáltatásokat, és rangsorolni a frissítéseket e kitettség alapján, mert a hitelesítést nem igénylő, hálózatról elérhető szolgáltatás pontosan az, amit a kitettségkezelés észlel. A biztonsági javítások telepítése után a Menedzselt kiberbiztonsági felügyelet (MDR) rálátást biztosít azokra az identitás- és levelezési tevékenységekre, amelyekkel egy hamisítási támadás megpróbál visszaélni.