CVE-2025-53786
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
W dniu 18 kwietnia 2025 roku Microsoft ogłosił zmiany w zabezpieczeniach serwera Exchange dla wdrożeń hybrydowych oraz towarzyszące poprawki. Po dalszym dochodzeniu zidentyfikowano konkretne implikacje bezpieczeństwa związane z tymi zmianami.
Ocena ryzyka
Brak zastosowania się do zaleceń może prowadzić do poważnych luk w zabezpieczeniach w środowiskach hybrydowych Exchange, co naraża organizację na ataki.
Rekomendacja
Zaleca się zapoznanie się z informacjami zawartymi w ogłoszeniu z 18 kwietnia, zainstalowanie poprawki z kwietnia 2025 roku (lub późniejszej) oraz wdrożenie wymaganych zmian w serwerze Exchange.
Inne podatności w Microsoft Exchange Server
Zobacz wszystkie- CVE-2026-69641Krytyczne
Brak autoryzacji w Microsoft Exchange Server umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-69356Krytyczne
Niewłaściwa neutralizacja danych wejściowych podczas generowania strony internetowej (cross-site scripting) w Microsoft Exchange Server umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku typu spoofing przez sieć.
- CVE-2026-55008Krytyczne
Podatność typu cross-site scripting (XSS) w Microsoft Exchange Server umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku polegającego na fałszowaniu treści w sieci. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-45502Średnie
Podatność Server-Side Request Forgery (SSRF) w Microsoft Exchange Server pozwala autoryzowanemu atakującemu na ujawnienie informacji przez sieć.
- CVE-2026-42897WysokieAktywnie exploitowane
W Microsoft Exchange Server występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu 'cross-site scripting'. Taki błąd umożliwia nieautoryzowanemu atakującemu przeprowadzenie oszustwa w sieci.
- CVE-2026-21527Średnie
Błąd w interfejsie użytkownika Microsoft Exchange Server prowadzi do błędnej prezentacji krytycznych informacji, co umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofingowego w sieci.
- CVE-2023-38182Wysokie
Podatność w Microsoft Exchange Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.
- CVE-2023-38181Wysokie
Podatność w Microsoft Exchange Server umożliwia atakującym podszywanie się pod inne adresy e-mail. Wykorzystanie tej luki może prowadzić do oszustw związanych z komunikacją e-mailową.
- CVE-2023-35388Wysokie
Podatność w Microsoft Exchange Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.
- CVE-2023-21709Krytyczne
Podatność podniesienia uprawnień w Microsoft Exchange Server. Umożliwia atakującemu podniesienie swoich uprawnień w systemie.
Oryginalny opis (angielski, źródło NVD)
On April 18th 2025, Microsoft announced Exchange Server Security Changes for Hybrid Deployments and accompanying non-security Hot Fix. Microsoft made these changes in the general interest of improving the security of hybrid Exchange deployments. Following further investigation, Microsoft identified specific security implications tied to the guidance and configuration steps outlined in the April announcement. Microsoft is issuing CVE-2025-53786 to document a vulnerability that is addressed by taking the steps documented with the April 18th announcement. Microsoft strongly recommends reading the information, installing the April 2025 (or later) Hot Fix and implementing the changes in your Exchange Server and hybrid environment.