Miles de servidores Microsoft Exchange quedaron desprotegidos antes de la fecha límite de CISA
Fecha: 11 de agosto de 2025
Resumen de la situación
A principios de agosto de 2025, aproximadamente 29,000 2025 servidores locales de Microsoft Exchange seguían sin parchear debido a una vulnerabilidad crítica (CVE-53786-365), tan solo unas horas antes de la fecha límite impuesta por la CISA. Esta falla supone un grave riesgo para las implementaciones híbridas, ya que permite la escalada de privilegios en el entorno de nube de Microsoft XNUMX.
Distribución geográfica de los servidores vulnerables
Los escaneos de Shadowserver informaron la siguiente falla:
- Estados Unidos: ~7,296
- Alemania: ~6,682
- Rusia: ~2,513
- Otros países, incluidos Francia, el Reino Unido, Austria y Canadá, cada uno con cientos de servidores vulnerables.
La vulnerabilidad: CVE-2025-53786
Esta vulnerabilidad de elevación de privilegios de alta gravedad afecta a Exchange Server 2016, Exchange Server 2019 y la Edición de Suscripción en configuraciones híbridas. Permite a atacantes con acceso administrativo a un servidor local escalar privilegios en el entorno conectado de Exchange Online, evadiendo la detección debido a mecanismos de autenticación débiles en configuraciones de entidad de servicio compartida.
Directiva urgente de mitigación y gobierno
La CISA emitió una Directiva de Emergencia (ED 25-02), que obliga a las agencias federales a tomar medidas correctivas específicas antes de las 9 a. m. EDT del 11 de agosto de 2025:
- Inventariar todos los servidores Exchange mediante el script Microsoft Health Checker.
- Desconecte inmediatamente los servidores que hayan llegado al final de su vida útil o que no reciban soporte.
- Instalar la revisión de abril de 2025 y las actualizaciones acumulativas aplicables (por ejemplo, CU14/CU15 para 2019, CU23 para 2016).
- Migre a la aplicación híbrida de Exchange dedicada y restablezca las credenciales principales del servicio compartido heredadas.
Orientación actualizada y mejores prácticas
El 12 de agosto, Microsoft y CISA ampliaron las directrices sobre detección y remediación de vulnerabilidades:
- Las organizaciones deben ejecutar el Comprobador de estado de Exchange para validar las actualizaciones y configuraciones.
- Asegúrese de la implementación de la aplicación híbrida de Exchange dedicada y elimine las configuraciones de confianza obsoletas.
- Aplique las actualizaciones de seguridad acumulativas de agosto de 2025 para mantener la compatibilidad e incluir mejoras en el escaneo AMSI.
- Supervise los problemas posteriores a la actualización y utilice herramientas de solución de problemas como SetupAssist si es necesario.
¿Por qué este Matters
La vulnerabilidad permite la escalada silenciosa de privilegios, desde Exchange local a la nube, lo que amenaza con comprometer por completo el dominio. Sin una mitigación adecuada, los atacantes podrían explotar tokens de confianza, obtener acceso no autorizado hasta por 24 horas y, potencialmente, evadir por completo los mecanismos de registro.
Conclusión
El retraso generalizado en la aplicación de parches a decenas de miles de servidores Exchange revela una grave brecha de seguridad que afecta tanto a las infraestructuras gubernamentales como a las del sector privado. Es fundamental actuar de inmediato, incluyendo la aplicación de parches, las actualizaciones de configuración y la migración a arquitecturas híbridas más seguras, para protegerse contra posibles escenarios de vulnerabilidades devastadoras.
