🔥 Alert: Roundcube CVE-2026-48842 — SQL-инъекция до логина. Патч вышел в мае, эксплуатация — в сентябре.
Коллеги, понедельник. Начинаем неделю с веб-почты, которая стоит почти у каждого второго хостинга и у многих организаций.
ФАКТЫ:
CVE-2026-48842, CVSS 8.1, pre-auth SQL injection
Причина: обход экранирования через backslash в preg_replace() в плагине virtuser_query
Запрос выполняется во время обработки логина, до проверки сессии. Учётная запись атакующему не нужна.
Уязвимы: 1.6.x < 1.6.16 и 1.7.x < 1.7.1
Исправлено: 24 мая 2026. Актуальные версии — 1.6.19 и 1.7.4 (6 сентября)
Эксплуатация в дикой природе: с 21 сентября (Canadian Centre for Cyber Security)
УСЛОВИЕ, КОТОРОЕ ВСЁ РЕШАЕТ:
Плагин virtuser_query должен быть ВКЛЮЧЁН в $config['plugins']. По умолчанию он выключен. Если плагин просто лежит в каталоге, это не опасно.
Кто пользуется virtuser_query: те, кто сопоставляет виртуальных пользователей с ящиками через SQL-запрос. Типичные связки — Postfix/Dovecot + MySQL и хостинговые панели.
ИНТЕРПРЕТАЦИЯ (моя):
Импакт — SQL-операции с правами БД-пользователя Roundcube. Это не автоматический RCE. Но если Roundcube ходит в ту же БД, что и почтовый сервер (таблицы users/aliases), атакующий добирается до хешей паролей и маршрутизации почты. Права этого БД-пользователя и определяют реальный ущерб.
bash
# Версия
grep -E "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null \
|| grep -rE "RCMAIL_VERSION'?, ?'" /usr/share/roundcube/program/include/ 2>/dev/null
# Включён ли плагин (во всех конфигах, не только в основном)
grep -rn "virtuser_query" /etc/roundcube/ /var/www/roundcube/config/ 2>/dev/null
# Какие права у БД-пользователя Roundcube (MySQL)
mysql -e "SHOW GRANTS FOR 'roundcube'@'localhost';"
# Всплески неуспешных логинов
grep -c "Failed login" /var/log/roundcube/errors.log
ЧТО ДЕЛАТЬ:
□ Обновиться до 1.6.19 / 1.7.4 (перед этим бэкап БД и конфигов)
□ Если сейчас нельзя — убрать virtuser_query из $config['plugins'] и проверить логин
□ Урезать права БД-пользователя Roundcube до собственной схемы
□ Если плагин был включён — сохранить логи веб-сервера и БД с 21 сентября и проверить их
Итог: четыре месяца между патчем и атакой — обычное окно для веб-приложений «поставил и забыл». Roundcube обновляется не через Windows Update, и никто, кроме вас, не напомнит.
#alert #roundcube #mail #sqli #cve #sysadmin #admin_future
Коллеги, понедельник. Начинаем неделю с веб-почты, которая стоит почти у каждого второго хостинга и у многих организаций.
ФАКТЫ:
CVE-2026-48842, CVSS 8.1, pre-auth SQL injection
Причина: обход экранирования через backslash в preg_replace() в плагине virtuser_query
Запрос выполняется во время обработки логина, до проверки сессии. Учётная запись атакующему не нужна.
Уязвимы: 1.6.x < 1.6.16 и 1.7.x < 1.7.1
Исправлено: 24 мая 2026. Актуальные версии — 1.6.19 и 1.7.4 (6 сентября)
Эксплуатация в дикой природе: с 21 сентября (Canadian Centre for Cyber Security)
УСЛОВИЕ, КОТОРОЕ ВСЁ РЕШАЕТ:
Плагин virtuser_query должен быть ВКЛЮЧЁН в $config['plugins']. По умолчанию он выключен. Если плагин просто лежит в каталоге, это не опасно.
Кто пользуется virtuser_query: те, кто сопоставляет виртуальных пользователей с ящиками через SQL-запрос. Типичные связки — Postfix/Dovecot + MySQL и хостинговые панели.
ИНТЕРПРЕТАЦИЯ (моя):
Импакт — SQL-операции с правами БД-пользователя Roundcube. Это не автоматический RCE. Но если Roundcube ходит в ту же БД, что и почтовый сервер (таблицы users/aliases), атакующий добирается до хешей паролей и маршрутизации почты. Права этого БД-пользователя и определяют реальный ущерб.
bash
# Версия
grep -E "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null \
|| grep -rE "RCMAIL_VERSION'?, ?'" /usr/share/roundcube/program/include/ 2>/dev/null
# Включён ли плагин (во всех конфигах, не только в основном)
grep -rn "virtuser_query" /etc/roundcube/ /var/www/roundcube/config/ 2>/dev/null
# Какие права у БД-пользователя Roundcube (MySQL)
mysql -e "SHOW GRANTS FOR 'roundcube'@'localhost';"
# Всплески неуспешных логинов
grep -c "Failed login" /var/log/roundcube/errors.log
ЧТО ДЕЛАТЬ:
□ Обновиться до 1.6.19 / 1.7.4 (перед этим бэкап БД и конфигов)
□ Если сейчас нельзя — убрать virtuser_query из $config['plugins'] и проверить логин
□ Урезать права БД-пользователя Roundcube до собственной схемы
□ Если плагин был включён — сохранить логи веб-сервера и БД с 21 сентября и проверить их
Итог: четыре месяца между патчем и атакой — обычное окно для веб-приложений «поставил и забыл». Roundcube обновляется не через Windows Update, и никто, кроме вас, не напомнит.
#alert #roundcube #mail #sqli #cve #sysadmin #admin_future
🚨 FortiMail CVE-2026-104286: Zero-day без патча, запись файлов без авторизации. Дедлайн CISA — сегодня
Коллеги, воскресенье, но если в вашем контуре почтовый поток или фильтрация завязаны на Fortinet FortiMail — бросайте текущие дела. В активной эксплуатации критический zero-day, официального патча на данный момент нет.
📌 ФАКТЫ
Уязвимость:
Механика атаки: специально сформированный неаутентифицированный HTTP/HTTPS-запрос приводит к записи произвольных файлов в файловую систему с последующим выполнением кода с правами root.
Под ударом ветки:
Статус исправления: релизы
Внесено в каталог CISA KEV 1 октября; жесткий срок реализации компенсационных мер и аудита — сегодня, 4 октября.
⚠️ ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IoC от Fortinet / Truesec)
Атакующие закрепляются на уровне системных библиотек Linux-ядра прошивки:
Plaintext
🛠 СРОЧНЫЕ ДЕЙСТВИЯ (CLI FortiMail)
Bash
Аудит сетевого периметра (логи шлюзов / пограничных NGFW):
Bash
💡 В ЧЁМ СУТЬ
🛡 ПЛАН РАБОТ НА СЕГОДНЯ
Немедленная митигация: отключить модуль IBE через CLI либо закрыть входящий доступ по
Форензика и сверка IoC: при малейших признаках аномального трафика или наличии указанных IP в логах — заводить P1-тикет в Fortinet TAC с полным дампом системы (
План апгрейда: если шлюз на ветке
Пост-патч регламент: сразу после релиза сборок
#alert #fortinet #fortimail #mail #security #zeroday #cve #kev #sysadmin #admin_future
Коллеги, воскресенье, но если в вашем контуре почтовый поток или фильтрация завязаны на Fortinet FortiMail — бросайте текущие дела. В активной эксплуатации критический zero-day, официального патча на данный момент нет.
📌 ФАКТЫ
Уязвимость:
CVE-2026-104286, оценка CVSS 9.8 (Critical). Вектор: Path Traversal с обходом проверок через NULL-байт (%00) в модуле IBE (Identity-Based Encryption).Механика атаки: специально сформированный неаутентифицированный HTTP/HTTPS-запрос приводит к записи произвольных файлов в файловую систему с последующим выполнением кода с правами root.
Под ударом ветки:
7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1.Статус исправления: релизы
7.4.9, 7.6.7 и 8.0.2 ещё в разработке. Ветка 7.2 официального фикса не получит вовсе — вендор требует миграции на 7.4+.Внесено в каталог CISA KEV 1 октября; жесткий срок реализации компенсационных мер и аудита — сегодня, 4 октября.
⚠️ ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IoC от Fortinet / Truesec)
Атакующие закрепляются на уровне системных библиотек Linux-ядра прошивки:
Plaintext
Созданные файлы: /data/lib/liblog.so
/data/bin/webconsole
/data/etc/ld.so.preload
Модифицирован: /bin/smit
Вредоносные IP: 79.141.169.187
45.129.0.192
Опасность: связка
ld.so.preload+ инжектируемая библиотека
.soгарантирует перехват системных вызовов каждым процессом в ОС. Закрепление наглухо переживает штатные ребуты устройства.
🛠 СРОЧНЫЕ ДЕЙСТВИЯ (CLI FortiMail)
Bash
# 1. Проверяем текущий билд
get system status
# 2. Включаем официальный Workaround: тушим IBE
config system encryption ibe
set status disable
end
# 3. Ревизия открытых портов управления на внешних интерфейсах
show system interface
Аудит сетевого периметра (логи шлюзов / пограничных NGFW):
Bash
# Ищем следы контактов с известной инфраструктурой атаки
grep -E '79\.141\.169\.187|45\.129\.0\.192' /var/log/firewall/*.log
💡 В ЧЁМ СУТЬ
Почтовый ретранслятор обязан принимать SMTP-трафик снаружи (порты 25/587). Однако веб-интерфейс шифрования IBE и панель администрирования часто выставляются в интернет автоматически вместе с интерфейсом приёма почты.
Если IBE не используется в рабочих регламентах компании — отключите модуль немедленно.
Если функционал шифрованных писем необходим внешним адресатам — заворачивайте его строго за WAF / Reverse Proxy с белыми списками и жесткой валидацией URL.
Важно: хост с внедрённым
ld.so.preloadбессмысленно просто обновлять после выхода патча. Устройство подлежит полному вайпу, накату чистого образа «с нуля» и перевыпуску всех ключей и секретов.
🛡 ПЛАН РАБОТ НА СЕГОДНЯ
Немедленная митигация: отключить модуль IBE через CLI либо закрыть входящий доступ по
TCP/443 и TCP/80 на внешних портах шлюза.Форензика и сверка IoC: при малейших признаках аномального трафика или наличии указанных IP в логах — заводить P1-тикет в Fortinet TAC с полным дампом системы (
debug system export).План апгрейда: если шлюз на ветке
7.2.x, незамедлительно запланировать переход на 7.4.x.Пост-патч регламент: сразу после релиза сборок
7.4.9 / 7.6.7 / 8.0.2 накатить обновления, провести принудительную ротацию паролей администраторов, сервисной учетной записи LDAP-bind и закрытых TLS-ключей.#alert #fortinet #fortimail #mail #security #zeroday #cve #kev #sysadmin #admin_future
🚨 Cisco Secure Email Gateway: zero-day через вложение в письме, root на шлюзе. Второй почтовый шлюз за две недели
Коллеги, четверг. Вслед за инцидентами вокруг FortiMail под прицел попали решения Cisco. Почтовые шлюзы (Secure Email Gateway / ESA) окончательно утвердились в статусе приоритетного вектора атак на внешний периметр.
📌 ФАКТЫ
Идентификатор и скоринг:
Вектор Zero-Click: неаутентифицированная атака через отправку специально сформированного письма с вредоносным вложением.
В процессе штатного парсинга вложения модулем сканирования происходит запись произвольных файлов в файловую систему appliance с последующим выполнением произвольного кода с правами суперпользователя
Каких-либо действий от конечного пользователя или администратора не требуется — разбор и триггер уязвимости происходят на лету самим шлюзом.
Необходимые условия уязвимости:
Функция File Reputation включена и назначена хотя бы на одну политику обработки входящей почты (Inbound Mail Policy);
Версия служебного компонента Content Scanner Tools ниже 25.3.0.5525.
Статус эксплуатации: активные атаки в дикой природе зафиксированы в октябре. Официальный security advisory опубликован 14 октября. Обходных путей (workarounds) и изолирующих твиков конфигурации не существует.
Векторы устранения:
Накат пакета определений Content Scanner Tools версии 25.3.0.5525 или новее (применяется динамически без ребута ноды);
Либо мажорный апгрейд образов системы до AsyncOS 15.5.5-014 / 16.5.0-780;
Облачная инфраструктура Cisco Secure Email Cloud Gateway уже пропатчена на стороне вендора.
🛠 ДИАГНОСТИКА И ПАТЧИНГ (CLI AsyncOS)
Проверку и принудительное обновление необходимо выполнять понодово на каждом физическом или виртуальном узле кластера:
Plaintext
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
#security #cisco #email #zeroday #mail #gateway #sysadmin #admin_future
Коллеги, четверг. Вслед за инцидентами вокруг FortiMail под прицел попали решения Cisco. Почтовые шлюзы (Secure Email Gateway / ESA) окончательно утвердились в статусе приоритетного вектора атак на внешний периметр.
📌 ФАКТЫ
Идентификатор и скоринг:
CVE-2026-76519, критический базовый балл CVSS 9.8. Затрагивает операционную систему AsyncOS и механизм анализа репутации файлов AMP (Advanced Malware Protection) File Reputation.Вектор Zero-Click: неаутентифицированная атака через отправку специально сформированного письма с вредоносным вложением.
В процессе штатного парсинга вложения модулем сканирования происходит запись произвольных файлов в файловую систему appliance с последующим выполнением произвольного кода с правами суперпользователя
root.Каких-либо действий от конечного пользователя или администратора не требуется — разбор и триггер уязвимости происходят на лету самим шлюзом.
Необходимые условия уязвимости:
Функция File Reputation включена и назначена хотя бы на одну политику обработки входящей почты (Inbound Mail Policy);
Версия служебного компонента Content Scanner Tools ниже 25.3.0.5525.
Статус эксплуатации: активные атаки в дикой природе зафиксированы в октябре. Официальный security advisory опубликован 14 октября. Обходных путей (workarounds) и изолирующих твиков конфигурации не существует.
Векторы устранения:
Накат пакета определений Content Scanner Tools версии 25.3.0.5525 или новее (применяется динамически без ребута ноды);
Либо мажорный апгрейд образов системы до AsyncOS 15.5.5-014 / 16.5.0-780;
Облачная инфраструктура Cisco Secure Email Cloud Gateway уже пропатчена на стороне вендора.
🛠 ДИАГНОСТИКА И ПАТЧИНГ (CLI AsyncOS)
Проверку и принудительное обновление необходимо выполнять понодово на каждом физическом или виртуальном узле кластера:
Plaintext
# 1. Проверяем текущую установленную версию движков сканирования
contentscannerstatus
# 2. Если включен ручной режим обновлений — форсируем немедленную выкачку сигнатур
contentscannerupdate
# 3. Базовый поиск следов аномалий безопасности в системных журналах
grep "System Security" system_logs
⚠️ Важное замечание вендора по форензике:
Так как цепочка эксплойта даёт злоумышленнику права
rootна уровне базовой ОС FreeBSD/Linux шлюза, атакующий имеет возможность напрямую зачистить следы в локальных журналах
system_logsи
mail_logs. «Чистый» вывод журнала не гарантирует отсутствие компрометации.
💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА
Почтовый шлюз архитектурно обязан принимать входящие SMTP-соединения со всего интернета (
0.0.0.0/0), поэтому доставка полезной нагрузки через стандартный почтовый конверт — идеальный сценарий для атакующих.
Два фундаментальных правила эксплуатации SEG:
Автообновление движков контента (Antivirus, AMP, Content Scanner): должно быть включено по умолчанию в режиме реального времени, без задержек и ручного подтверждения администратором.
Жёсткий Egress-контроль: почтовому шлюзу из внешних направлений нужны только порт TCP/25 для доставки почты и доступ к вендорским CDN/серверам репутации по портам 80/443. Любые внезапные исходящие TCP/UDP-сессии с IP шлюза в сторону неизвестных внешних серверов на пограничном межсетевом экране должны немедленно отправлять алерт в SIEM/Telegram.
#security #cisco #email #zeroday #mail #gateway #sysadmin #admin_future
📧 Октябрьские обновления Windows Server ломают Exchange: OWA не пускает, письма висят в «Исходящих». Лечится одним ключом реестра
Коллеги, вторник. Если у вас Exchange on-prem и после недавних обновлений начались плавающие сбои — вот прямая причина.
📌 ФАКТЫ
Затронуты Windows Server 2019 и новее с октябрьским обновлением безопасности, любая версия Exchange на них
Симптомы: не входит OWA, письма висят в «Исходящих», сбои доступа к почтовым ящикам при их перемещении. В журналах —
Причина: обновление ужесточило RPC-стек и ввело лимит на число одновременных вызовов Endpoint Mapper — по умолчанию всего 512. Нагруженному Exchange этого пула не хватает
Проявляется не везде: напрямую зависит от нагрузки и количества одновременных MAPI/RPC-соединений
Microsoft не советует удалять накопительное обновление, полноценный хотфикс готовится
🛠 ПРОВЕРКА И ОБХОДНОЕ РЕШЕНИЕ
PowerShell
DOS
Если симптомы сохраняются при пиковом трафике, Microsoft рекомендует увеличить параметр до ещё более высокого значения.
⚠️ ЗАОДНО
У Exchange Server 2016 и 2019 подошли к концу сроки расширенной поддержки. Дальнейший официальный путь миграции on-prem — переход на Exchange Server Subscription Edition (SE).
💡 В ЧЁМ СУТЬ
#exchange #windowsserver #patchtuesday #mail #sysadmin #admin_future
Коллеги, вторник. Если у вас Exchange on-prem и после недавних обновлений начались плавающие сбои — вот прямая причина.
📌 ФАКТЫ
Затронуты Windows Server 2019 и новее с октябрьским обновлением безопасности, любая версия Exchange на них
Симптомы: не входит OWA, письма висят в «Исходящих», сбои доступа к почтовым ящикам при их перемещении. В журналах —
MapiExceptionMdbOffline (ec=1142) и Event ID 1006Причина: обновление ужесточило RPC-стек и ввело лимит на число одновременных вызовов Endpoint Mapper — по умолчанию всего 512. Нагруженному Exchange этого пула не хватает
Проявляется не везде: напрямую зависит от нагрузки и количества одновременных MAPI/RPC-соединений
Microsoft не советует удалять накопительное обновление, полноценный хотфикс готовится
🛠 ПРОВЕРКА И ОБХОДНОЕ РЕШЕНИЕ
PowerShell
# Проверка наличия ошибок в журнале Application
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1006} -MaxEvents 20 |
Select TimeCreated, ProviderName, Message
DOS
:: Временное решение от Microsoft (cmd от имени администратора), затем обязательная перезагрузка
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f
Если симптомы сохраняются при пиковом трафике, Microsoft рекомендует увеличить параметр до ещё более высокого значения.
⚠️ ЗАОДНО
У Exchange Server 2016 и 2019 подошли к концу сроки расширенной поддержки. Дальнейший официальный путь миграции on-prem — переход на Exchange Server Subscription Edition (SE).
💡 В ЧЁМ СУТЬ
Это не баг самого почтового сервера, а сайд-эффект ужесточения безопасности в ядре RPC Windows Server.
Почтовые серверы всегда стоит выносить в отдельную, изолированную волну патчинга, а после наката обновлений — контролировать очереди отправки (
Get-Queue), статус баз и Application-лог, а не ориентироваться только на статус «Службы запущены».
#exchange #windowsserver #patchtuesday #mail #sysadmin #admin_future
❤3
📮 Zimbra: эксплуатируемая уязвимость без участия пользователя, если установлен SNMP-пакет. Патч вышел ещё в июле
Коллеги, среда. Zimbra в России стоит у многих — проверяем.
📌 ФАКТЫ (Microsoft Threat Intelligence)
Условие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления
Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия
После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу
🛠 ПРОВЕРКА
Bash
🛡 ПЛАН
Обновиться до 10.1.20+
Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления
Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения
При находках — сменить секреты аутентификации Zimbra и пароли администраторов
💡 В ЧЁМ СУТЬ
#zimbra #mail #security #linux #sysadmin #admin_future
Коллеги, среда. Zimbra в России стоит у многих — проверяем.
📌 ФАКТЫ (Microsoft Threat Intelligence)
CVE-2026-73570 — уязвимость в Zimbra Collaboration Suite, атака возможна без учётной записи и без действий получателяУсловие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления
Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия
После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу
zimlog.service и охотились за секретами аутентификации Zimbra🛠 ПРОВЕРКА
Bash
su - zimbra -c 'zmcontrol -v' # версия
rpm -qa | grep zimbra-snmp || dpkg -l | grep zimbra-snmp
systemctl list-unit-files | grep -i zimlog # подозрительная служба
grep -rn pam_exec /etc/pam.d/ # неожиданные хуки PAM
🛡 ПЛАН
Обновиться до 10.1.20+
Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления
Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения
При находках — сменить секреты аутентификации Zimbra и пароли администраторов
💡 В ЧЁМ СУТЬ
Необязательные пакеты, которые поставили «на всякий случай», увеличивают поверхность атаки. Не используете SNMP-мониторинг Zimbra — пакету не место на сервере.
#zimbra #mail #security #linux #sysadmin #admin_future
📧 31 октября — последний день обновлений для Exchange 2016 и 2019. Продления не будет
Коллеги, до конца месяца четыре дня. Проверяем, на чём живёт корпоративная почта.
📌 ФАКТЫ
Расширенные обновления безопасности (ESU) для Exchange 2016 и 2019 окончательно завершаются 31 октября 2026 года
Microsoft подтвердила: следующего периода ESU не предусмотрено. Основная поддержка завершилась ещё в октябре 2025 года
Программа ESU покрывала только актуальные сборки 2016 CU23 и 2019 CU14/CU15, закрывая исключительно уязвимости уровней Critical и Important
С 1 ноября любая новая уязвимость в коде Exchange 2016/2019 останется без официального хотфикса. Серверы при этом продолжат отправлять и принимать почту, создавая опасную иллюзию штатной работы
🛠 ИНВЕНТАРИЗАЦИЯ (Exchange Management Shell)
PowerShell
🗺 ВАРИАНТЫ ДАЛЬНЕЙШИХ ДЕЙСТВИЙ
Exchange 2019 → Exchange Server Subscription Edition (SE): бесшовный апгрейд на месте (In-Place Upgrade), по механике аналогичный накату очередного CU
Exchange 2016 → Exchange Server SE: миграция через промежуточный ввод новых нод либо поэтапный переезд через гибридную инфраструктуру
Exchange Online (M365) или полный перенос сервиса на альтернативные on-prem платформы
🛡 ПЛАН ЗАЩИТЫ, ЕСЛИ НЕ УСПЕВАЕТЕ К ДЕДЛАЙНУ
Убрать веб-интерфейсы с внешнего периметра: OWA, ECP и EWS не должны быть доступны напрямую из интернета — строго через корпоративный VPN или WAF/Reverse Proxy с обязательной предаутентификацией
Изолировать транспорт: поместить серверы почтовых ящиков в изолированный сетевой сегмент с ограничением исходящих подключений
Мониторить артефакты взлома: регулярный аудит журналов IIS, проверка каталогов виртуальных директорий на наличие свежих aspx-веб-шеллов
Учесть системный твик: параметр реестра
💡 В ЧЁМ СУТЬ
#exchange #lifecycle #mail #microsoft #sysadmin #admin_future
Коллеги, до конца месяца четыре дня. Проверяем, на чём живёт корпоративная почта.
📌 ФАКТЫ
Расширенные обновления безопасности (ESU) для Exchange 2016 и 2019 окончательно завершаются 31 октября 2026 года
Microsoft подтвердила: следующего периода ESU не предусмотрено. Основная поддержка завершилась ещё в октябре 2025 года
Программа ESU покрывала только актуальные сборки 2016 CU23 и 2019 CU14/CU15, закрывая исключительно уязвимости уровней Critical и Important
С 1 ноября любая новая уязвимость в коде Exchange 2016/2019 останется без официального хотфикса. Серверы при этом продолжат отправлять и принимать почту, создавая опасную иллюзию штатной работы
🛠 ИНВЕНТАРИЗАЦИЯ (Exchange Management Shell)
PowerShell
# Проверка установленных версий и ролей в организации
Get-ExchangeServer | Select-Object Name, Edition, AdminDisplayVersion, ServerRole
# Версия 15.1.x — Exchange Server 2016
# Версия 15.2.x — Exchange Server 2019
🗺 ВАРИАНТЫ ДАЛЬНЕЙШИХ ДЕЙСТВИЙ
Exchange 2019 → Exchange Server Subscription Edition (SE): бесшовный апгрейд на месте (In-Place Upgrade), по механике аналогичный накату очередного CU
Exchange 2016 → Exchange Server SE: миграция через промежуточный ввод новых нод либо поэтапный переезд через гибридную инфраструктуру
Exchange Online (M365) или полный перенос сервиса на альтернативные on-prem платформы
🛡 ПЛАН ЗАЩИТЫ, ЕСЛИ НЕ УСПЕВАЕТЕ К ДЕДЛАЙНУ
Убрать веб-интерфейсы с внешнего периметра: OWA, ECP и EWS не должны быть доступны напрямую из интернета — строго через корпоративный VPN или WAF/Reverse Proxy с обязательной предаутентификацией
Изолировать транспорт: поместить серверы почтовых ящиков в изолированный сетевой сегмент с ограничением исходящих подключений
Мониторить артефакты взлома: регулярный аудит журналов IIS, проверка каталогов виртуальных директорий на наличие свежих aspx-веб-шеллов
Учесть системный твик: параметр реестра
EpmapSavedContextCap для RPC-стека Windows Server остаётся актуальным и для Exchange SE💡 В ЧЁМ СУТЬ
On-prem Exchange — одна из приоритетных мишеней для таргетированных атак: сервер напрямую завязан на Active Directory и хранит привилегированные доменные токены.
Почтовый сервер без security-патчей на внешнем IP — готовая точка входа для закрепления в периметре. Если миграция затягивается, закрывайте прямой доступ к OWA и ECP в первую очередь.
#exchange #lifecycle #mail #microsoft #sysadmin #admin_future