O vulnerabilitate de severitate maximă din Microsoft Exchange Server, identificată ca CVE-2026-42897, este exploatată activ de hackeri asociați guvernului rus, conform unui raport publicat de Ars Technica. Organizațiile care nu au aplicat patch-urile disponibile riscă să descopere că rețelele lor sunt deja compromise - iar backdoor-urile instalate pot rămâne active luni sau ani de zile fără să fie detectate.

Vulnerabilitatea vizată afectează Microsoft Exchange Server și permite atacatorilor să execute cod de la distanță fără autentificare prealabilă, prin injectare de tip XSS. Grupul de actori cibernetici responsabil este cunoscut sub numele Laundry Bear, identificat și ca Void Blizzard sau TA488, asociat cu serviciile de informații ale Kremlinului, potrivit analizelor tehnice citate de Ars Technica. Tehnica folosită implică instalarea backdoor-ului OWAReaper direct în infrastructura de poștă electronică a organizațiilor vizate, ceea ce înseamnă că atacatorii obțin acces pe termen lung la comunicații interne, date sensibile și, potențial, la alte sisteme din rețea. Este important de menționat că Exchange Online nu este afectat de această vulnerabilitate - riscul vizează exclusiv instalările locale de Exchange Server.

Printre țintele identificate se numără organizații guvernamentale și instituții din sectoare critice de infrastructură. Caracterul persistent al backdoor-urilor instalate este elementul care îngrijorează cel mai mult experții în securitate cibernetică: odată ce accesul a fost câștigat, simpla aplicare a unui patch nu elimină neapărat amenințarea, dacă intruziunea nu a fost detectată și remediată în prealabil.

Microsoft a lansat actualizările de securitate care remediază această vulnerabilitate, iar specialiștii recomandă aplicarea lor imediată. Organizațiile care rulează versiuni neactualizate de Exchange Server sunt expuse în mod direct. Agențiile de securitate cibernetică din mai multe țări au emis avertismente similare în ultimele luni în legătură cu campaniile de spionaj cibernetic atribuite Rusiei, campanii care vizează cu precădere ministere, contractori de apărare și operatori de infrastructură critică.

De ce contează acest atac dincolo de aspectul tehnic? Exchange Server este coloana vertebrală a comunicațiilor interne pentru zeci de mii de organizații la nivel mondial. Un backdoor instalat acolo nu înseamnă doar acces la e-mailuri - înseamnă acces la calendare, contacte, fluxuri de documente și, deseori, un punct de intrare spre sisteme mai sensibile din aceeași rețea. Grupurile de hackeri rusești au demonstrat în mod repetat că prioritizează accesul persistent și discret în detrimentul atacurilor spectaculoase imediate. Campania actuală urmează un tipar deja cunoscut: exploatarea rapidă a unei vulnerabilități publice înainte ca organizațiile să aplice patch-urile, urmată de instalarea de instrumente care supraviețuiesc actualizărilor software ulterioare.

Spre deosebire de incidentul SolarWinds din 2020 - în care grupul APT29/Cozy Bear a compromis zeci de agenții guvernamentale americane prin infectarea unui lanț de aprovizionare software - campania actuală, atribuită Laundry Bear/TA488, exploatează direct o vulnerabilitate XSS din Exchange Server. Metodologia diferă, dar obiectivul rămâne același: răbdare, persistență și exploatarea ferestrelor de vulnerabilitate lăsate deschise de organizații care nu actualizează la timp.

Administratorii de sisteme care gestionează Exchange Server trebuie să acționeze pe mai multe fronturi simultan. Primul pas este aplicarea imediată a actualizărilor de securitate disponibile. Al doilea, la fel de important, este auditarea log-urilor de acces pentru a detecta semne ale unei intruziuni deja produse - conexiuni neobișnuite, procese create atipic sau fișiere adăugate recent în directoarele critice ale serverului. Organizațiile care au întârziat aplicarea patch-urilor ar trebui să trateze situația ca și cum compromiterea ar fi deja un fapt, nu o posibilitate.

Rămâne de văzut câte organizații au fost efectiv afectate înainte ca alerta să devină publică. S-ar putea ca numărul real de sisteme compromise să fie semnificativ mai mare decât cel confirmat oficial până acum - o realitate neplăcută, dar tipică pentru campaniile de spionaj cibernetic susținut de state.