微软周三通报了影响 Exchange Server 混合部署的高严重性漏洞。

据微软称，该漏洞编号为CVE-2025-53786，攻击者可以利用该漏洞来提升权限。

微软解释说：“在 Exchange 混合部署中，首先获得本地 Exchange 服务器管理访问权限的攻击者可能会在组织的互联云环境中提升权限，而不会留下易于检测和审计的痕迹。这种风险的出现是因为 Exchange Server 和 Exchange Online 在混合配置中共享相同的服务主体。”

该漏洞由 Outsider Security 的 Dirk-jan Mollema 报告，已在 Exchange Server 2016、2019 和 Subscription Edition RTM 中得到修补。

该漏洞尚未被广泛利用，但其可利用性评估为“很可能被利用”。

CISA 发布了针对 CVE-2025-53786 的警报，称尽管微软尚未发现任何野外攻击，但强烈建议各组织实施补丁和缓解措施，“否则组织可能会容易受到混合云和本地总域攻击”。

微软周三还发布了一篇博客文章，提醒客户最近宣布的Exchange 混合环境的变化。

该公司解释说：“从 2025 年 8 月开始，我们将开始使用 Exchange Online 共享服务主体（混合场景中的某些共存功能默认使用该主体）暂时阻止 Exchange Web 服务 (EWS) 流量。”

微软补充道：“这是分阶段战略的一部分，旨在加快客户采用专用 Exchange 混合应用程序，并使客户的环境更加安全。”

威胁组织针对 Exchange Server 实例进行攻击的情况并不少见。CISA 的已知被利用漏洞目录目前包含自 2018 年以来被利用的 17 个 Exchange 漏洞。