Microsoft Exchange Online: повышение привилегий через подделку запроса

Повышение привилегий в Microsoft Exchange Online подтверждено

НКЦКИ уведомляет об уязвимости VULN-20261012.130, которая затрагивает серверное программное обеспечение и его компоненты. Уязвимость получила идентификатор MITRE CVE-2026-65801 и ФСТЭК BDU:2026-15596. Она позволяет повысить привилегии в Microsoft Exchange Online. Ошибка заключается в подделке запроса со стороны сервера (Server-Side Request Forgery, SSRF). Эксплуатация происходит через подмену при взаимодействии, не требует участия пользователя. Уязвимость выявлена 30 сентября 2026 года. Информация об уязвимости последний раз обновлялась в тот же день.

Microsoft Exchange Online использует подделку запросов

Microsoft Exchange Online — это облачный сервис электронной почты и совместной работы от Microsoft. Он входит в пакет Microsoft 365 и предоставляет корпоративным пользователям функции обмена сообщениями, календаря, контактов и задач. Сервис относится к категории серверного программного обеспечения. Уязвимость CVE-2026-65801 затрагивает именно этот продукт, позволяя злоумышленникам выполнять подмену запросов.

Уязвимость CVE-2026-65801 устраняется патчем

Уязвимость MITRE CVE-2026-65801 имеет статус "Есть" в отношении наличия обновления. Производитель выпустил официальный патч для устранения данной проблемы. Однако НКЦКИ рекомендует устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков, учитывая текущую геополитическую обстановку и санкции против Российской Федерации.

Установить патч после оценки рисков

Пользователям Microsoft Exchange Online необходимо установить официальный патч, выпущенный производителем, для устранения уязвимости CVE-2026-65801. Перед установкой обновления следует провести оценку всех сопутствующих рисков, связанных с санкционными ограничениями.