NCSC waarschuwt Exchange-gebruikers voor risico van mailboxinzage via servergat

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor een ernstige kwetsbaarheid in de Exchange Server-software van Microsoft. De kans op misbruik is volgens het NCSC middelgroot en de mogelijke schade kan groot zijn. Een update voor de e-mail- en agendasoftware is beschikbaar.

Aanvallers hebben toegang tot een geldig account nodig op kwetsbare Exchange-systemen. Met dat account kunnen ze op afstand hogere rechten verkrijgen op servers met de veelgebruikte Microsoft-software. Het NCSC waarschuwt dat aanvallers dan belangrijke instellingen kunnen veranderen of toegang krijgen tot vertrouwelijke informatie. Het gaat bijvoorbeeld om de e-mailboxen van andere gebruikers binnen een organisatie die Exchange gebruikt.

Het NCSC heeft geen meldingen ontvangen dat deze kwetsbaarheid actief wordt misbruikt. Toch waarschuwt het cybersecurityorgaan van de Nederlandse overheid, omdat de kans op misbruik 'middelgroot' is. Het schat de mogelijke schade door succesvol misbruik in als groot. De kwetsbaarheid is aanwezig in Exchange-versies 2016, 2019 en in de nieuwere Subscription Edition.

Patches installeren

De kwetsbaarheid (CVE-2026-96940) heeft een score van 8,8 op de schaal van het Common Vulnerability Scoring System (CVSS) die loopt tot 10. Microsoft bracht op 2 oktober updates uit die dit beveiligingsgat verhelpen. Die patches verschenen buiten het reguliere maandritme van Patch Tuesday. Het NCSC adviseert deze patches zo snel mogelijk te installeren. Microsoft heeft deze reparatie al doorgevoerd in Exchange Online.

Reacties (19)

[Cowamundo]

Microsoft en andere bedrijven vinden nu door AI zoveel bugs dat over een half jaar alle unsupported software zo lek is als een mandje.

[DaanR.]

Software is praktisch altijd zo lek als een mandje, het was alleen de vraag wanneer dat ontdekt zou worden.

[Snow_King]

Nu is het wachten tot we alle gaten gevonden hebben en dan zijn we weer veilig. Dit gaat tijdelijk zijn.

Een golf. Maar zijn we al op de top en hoe lang gaat de staart zijn?

[WarrieJunioR]

Een servergolf? of Exchangegolf in dit specifieke geval?

[Snow_King]

Figuurlijke, het aantal gevonden voorwerpen exploits

[WarrieJunioR]

Lost and Found afdeling krijgt het er maar druk mee

[segil]

Servergat? Wat is een servergat? Een vlugge Google search leert mij dat dit geen gangbare term is.

[Sluuut]

Microsoft geeft niet aan in welk protocol deze exploit moet plaatsvinden, HTTPS (op IIS), MAPI, OWA, EWS, RPC, SMTP. Enkel dat je account credentials moet hebben en vanuit daar higher elevated permissies kunt krijgen.

Exchange 2016 en 2019 en SE draaien op Windows Server. Eigenlijk is het dus geen "servergat", maar een Exchangegat. (??)

[Technoid]

Toch bijzonder dat voor een EOL product (2016,2019) een jaar erna er nog steeds updates worden uitgebracht.

[FerronN]

De extended period voor 2019 loopt nog tm 31 oktober dit jaar. Dus voor 2016 is bijzonder, maar wellicht was dezelfde patch makkelijk toepasbaar?

[wvoet]

Het ESU (Extended Security Updates) programma is voor zowel 2016 als 2019. Maar updates zijn dus alleen voor 2016 en 2019 beschikbaar als je dat programma hebt afgenomen (zowel ESU periode 1 als 2, want 1 liep al in april af, en 2 kreeg je niet zonder ook 1 af te nemen)

[vuurbal]

Na 10 jaar zou je toch wel meer als een intentie moeten hebben om te upgraden naar een hogere versie lijkt me.

[wvoet]

Eens, maar zeg dat maar eens tegen een aantal bedrijven die nog 2012 R2 (of ouder...) als OS hebben draaien...

[michelr]

Breek me de bek niet open. Genoeg klanten die nog Ex2019 draaien (of ouder.. of nog ouder) en bewust een kostenafweging maken. Want tja, niks doen is goedkoper dan in de krant komen

[gorgi_19]

Ze zijn ook niet breed beschikbaar:

quote: https://techcommunity.mic...-security-updates/4561718

Exchange 2016 and 2019 updates are available only under the Period 2 ESU program
Exchange Server 2016 and 2019 are out of support. Only customers who enrolled in the Period 2 Extended Security Update (ESU) program are eligible to receive Exchange Server 2016 and 2019 security updates released between May and October 2026.

If you are not part of the Period 2 ESU program, migrate to Exchange Server Subscription Edition (SE) to keep receiving the latest security updates.

Je moet dus inderdaad enrolled zijn onder het ESU programma

[pe0mot]

LOL. Servergat.

Woord van het jaar 2026?

[tedades]

Ik zeg altijd maar: Beter een gat in je server, dan een server in je gat

[digital-IMEI]

Dat is die plek waar vroeger het geheugen zat maar tegenwoordig niet te betalen is

[michelr]

NCSC is er vlot bij (kuch).