Microsoft ha alertado a sus clientes sobre una vulnerabilidad de alta severidad que afecta las implementaciones híbridas de Exchange Server. Esta brecha podría permitir a los atacantes aumentar sus privilegios dentro del entorno de la nube en línea de Exchange sin ser detectados.
Descubrimiento y contexto
La vulnerabilidad fue presentada durante la conferencia de seguridad Black Hat USA 2025 por Dirk-jan Mollema. Según el descubridor, las versiones locales de Exchange Server utilizan una credencial de certificado para autenticarse en Exchange Online y permitir OAuth en escenarios híbridos.
Las implementaciones híbridas de Exchange permiten conectar los servidores On-Premises con Exchange Online (parte de Microsoft 365), facilitando la integración de características como el correo electrónico, calendarios compartidos y listas de direcciones globales entre ambientes locales y en la nube.
Exploitabilidad
En las implementaciones híbridas, el servidor On-Premises y Exchange Online comparten un servicio principal que actúa como identidad compartida para la autenticación. Al abusar de esta identidad, los atacantes que controlan el entorno local pueden forjar o manipular tokens de confianza o llamadas API que serán aceptados por el lado de la nube.
Además, las acciones originadas en los servidores locales no siempre generan registros asociados con comportamientos maliciosos en Microsoft 365. Esto hace que la auditoría tradicional basada en la nube (como Microsoft Purview o registros M365) pueda no detectar violaciones de seguridad si se originaron en instalaciones locales.
Detalles técnicos
Microsoft identificó esta vulnerabilidad como CVE-2025-53786, con una puntuación CVSS de 8.0. La vulnerabilidad afecta a Exchange Server 2016 y Exchange Server 2019, así como a la edición de suscripción de Microsoft Exchange Server.
Microsoft no ha observado explotación activa hasta ahora, pero lo ha etiquetado como «explotación más probable» debido al potencial para desarrollar código que permita explotar constantemente esta brecha.
Estado de parcheo
Según los análisis de la plataforma Shadowserver, más de 29.098 servidores Exchange aún no tienen parches contra posibles ataques CVE-2025-53786.
Recomendaciones y mitigación
CISA emitió un aviso separado sobre el tema, recomendando lo siguiente:
- Instalar las actualizaciones de hotfix de Microsoft en abril 2025 para Exchange Server.
- Revisar el modo de limpieza de Microsoft para obtener orientación sobre cómo restablecer las KeyCredentials del Principal del Servicio.
- Ejecutar el verificador de salud de Microsoft Exchange para determinar si se requieren más pasos.
CISA advierte que no mitigar esta vulnerabilidad podría conducir a una nube híbrida y un compromiso total del dominio. Insta a los administradores a desconectar servidores públicos que ejecutan versiones al final de la vida (EOL) o al final del servicio de Exchange Server o SharePoint Server.
En enero, Microsoft recordó a los administradores que Exchange 2016 y Exchange 2019 alcanzarán su final del soporte extendido en octubre. Compartió orientación para aquellos que necesiten desmantelar servidores obsoletos, aconsejándoles migrar a Exchange Online o actualizar a la edición de suscripción.