ไมโครซอฟท์ออกมายืนยันช่องโหว่ Zero-day 2 รายการ มีผลกระทบกับ Microsoft Exchange Server 2013, Exchange Server 2016 และ Exchange Server 2019 ซึ่งมีรายงานการถูกโจมตีด้วยช่องโหว่นี้แล้วในวงจำกัด

สองช่องโหว่คือ CVE-2022-41040 ที่เป็นช่องโหว่ใน Server-Side Request Forgery หรือ SSRF และ CVE-2022-41082 ที่โจมตีผ่าน Remote Code Execution หรือ RCE หากผู้โจมตีเข้าถึงสิทธิ PowerShell ได้ โดยในการโจมตีนั้นต้องเข้าถึงผ่าน CVE-2022-41040 ก่อน แล้วจึงส่งคำสั่งผ่าน CVE-2022-41082

ในตอนนี้ยังไม่มีแพตช์ออกมา ไมโครซอฟท์บอกว่ากำลังเร่งแก้ไขอยู่ แต่ได้ให้ขั้นตอนเพื่อลดโอกาสเกิดปัญหา (Mitigation) ลูกค้า Exchange Online ไม่ต้องทำอะไรเพิ่ม ส่วนลูกค้าแบบออนพรีมิสให้สร้างสคริปต์รันตามที่ไมโครซอฟท์ หรือทำตามขั้นตอนที่อธิบายไว้ในที่มา

ที่มา: ไมโครซอฟท์