微软能发现存在逾10年的Exchange重大漏洞，台湾研究人员的通报是关键

微软上周公布并修补遭到骇客攻击的Exchange Server漏洞，但安全专家质疑微软从1月初经台湾安全厂商通报到实际修补，花了快2个月，动作太慢，而且怀疑漏洞存在可能已超过10年。

上周三微软公布Exchange Server 4项漏洞（合称为ProxyLogon）遭到骇客组织开采，以骇入企业窃取邮件，并会在Exchange Server建立后门。微软是在安全厂商Volexity及Dubex通报下得知攻击行动。Dubex和Volexity是在1月27日及2月2日分别通报微软。

但是微软对资安部落格KrebsonSecurity坦承，他们是在1月初发现情况有异，但直到3月2日（台湾时间3月3日）发出紧急安全公告及修补程式，已经将近2个月。

最早通报微软的可能是台湾资安业者戴夫寇尔（DEVCORE）。根据戴夫寇尔的说明，他们早在去年12月就发现Exchange的CVE-2021-26855及CVE-2021-27065两个漏洞以及可被串联攻击，1月5日就警告微软可能的攻击行动，并在1月6日获得微软方面证实漏洞及攻击可能性。另一方面，Volexity原先研判针对CVE-2021-26855发动的跨网站请求伪造(SSRF)攻击，最早出现在1月6日，但昨天Volexity认为应该要再往前推到1月3日。

3月2日微软释出安全公告当天，戴夫寇尔资安研究员蔡政达也预告微软的修补行动，显然深知微软的作业进度。

根据微软公告，受影响的Exchange Server版本包括2013、2016及2019。此外，为了深度防御（defense in depth）理由，微软也为不再支援的Exchange Server 2010提供更新。KrebsonSecurity指出，这表示这些漏洞可能影响Exchange Server程式码超过10年。

骇客只要发现未修补Exchange漏洞的服务器即可发动攻击。从3月2日微软公告起算，短短三天内美国被骇的Exchange Server至少超过3万家组织，包括研究机构、智库、警察消防局、地方-、银行、电信业者或中小企业，全球受害者也可能来到数十万，包括今天公布的欧洲金管会旗下欧洲银行管理署（European Banking Authority）。