Błąd w Microsoft Exchange Server pozwala uruchomić kod na serwerze poczty po zalogowaniu dowolnym kontem. Grupa Storm-1175 używa go w atakach ransomware Medusa. Sprawdź numer kompilacji i zainstaluj aktualizację dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują własny serwer poczty Microsoft Exchange. Werdykt: jeśli Twój Exchange nie ma aktualizacji zabezpieczeń z lutego 2023 roku (KB5023038) lub nowszej, zaktualizuj go dziś, bo luka jest wykorzystywana przez grupę ransomware, a atakującemu wystarczy jedno działające konto pocztowe.
Amerykańska agencja CISA 13 kwietnia 2026 roku dopisała podatność CVE-2023-21529 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Poprawka jest dostępna od 14 lutego 2023 roku, ale przez trzy lata błąd nie był uznawany za pilny.
Zmieniło się to 6 kwietnia 2026 roku, gdy Microsoft Threat Intelligence opisał grupę Storm-1175, która wchodzi do sieci firm przez ponad szesnaście podatności w systemach wystawionych do internetu, w tym przez tę lukę w Exchange, a kończy atak szyfrowaniem danych ransomware Medusa. Termin naprawy wyznaczony przez CISA minął 27 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-21529 (w europejskiej bazie ENISA: EUVD-2023-25697) |
Data dodania do CISA KEV | 2026-04-13 |
Termin naprawy wg CISA | 2026-04-27 |
Produkt | Microsoft Exchange Server (serwer poczty utrzymywany we własnej serwerowni lub centrum danych) |
Wersje zagrożone | Exchange Server 2013 CU23, Exchange Server 2016 CU23, Exchange Server 2019 CU11 i CU12 bez aktualizacji z lutego 2023 roku. Atak wymaga zalogowania dowolnym kontem na serwerze |
Wersje bezpieczne | Aktualizacja KB5023038 (luty 2023) lub nowsza. Kompilacje z poprawką: 2013 CU23: 15.00.1497.047; 2016 CU23: 15.01.2507.021; 2019 CU11: 15.02.0986.041; 2019 CU12: 15.02.1118.025. Uwaga: wersje 2013, 2016 i 2019 nie są już wspierane przez Microsoft, więc docelowo potrzebna jest migracja na wspieraną wersję lub do chmury |
Typ podatności | Deserializacja niezaufanych danych prowadząca do wykonania kodu na serwerze; CWE-502 |
Ocena CVSS | Microsoft: 8.8 (CVSS 3.1, WYSOKA; ocena czasowa 7.7). Atak przez sieć, niska złożoność, wymaga niskich uprawnień, bez udziału użytkownika. NVD nie wystawiło własnej oceny |
Wyobraź sobie urząd, w którym urzędnik ma obowiązek odczytać na głos każdy złożony formularz i wykonać to, co w nim zapisano. Formularze składają tylko osoby z przepustką. Ktoś z przepustką wpisuje w rubrykę „uwagi” zdanie brzmiące jak polecenie służbowe: „wydać klucze do archiwum”. Urzędnik czyta i posłusznie wykonuje, bo nikt go nie nauczył odróżniać danych od poleceń.
Tak działa deserializacja niezaufanych danych w Exchange. Serwer przyjmuje od zalogowanego użytkownika paczkę danych i odtwarza ją, nie sprawdzając, co jest w środku. Spreparowana paczka podczas rozpakowania uruchamia kod napastnika, i to na koncie samego serwera pocztowego, które w sieci firmowej ma szerokie uprawnienia. Nikt nie musi klikać w załącznik: wystarczy login i hasło jednego pracownika.
💡 Serializacja to zapisanie stanu programu jako ciągu bajtów, a deserializacja to jego odtworzenie. Gdy program odtwarza dowolną paczkę bez kontroli, sama czynność rozpakowania może uruchomić cudze polecenia. Numer kompilacji (np. 15.02.1118.025) to dokładny numer wersji serwera, po którym poznasz, czy poprawka jest zainstalowana. Ransomware to złośliwe oprogramowanie szyfrujące dane w celu wymuszenia okupu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik loguje się do poczty | Czyta i wysyła wiadomości | Tak samo, nic nie zauważa |
Napastnik zna hasło jednego pracownika | Ma dostęp do jednej skrzynki | Może uruchomić własny kod na serwerze Exchange |
Konto serwera pocztowego | Obsługuje skrzynki i katalog użytkowników | Staje się narzędziem napastnika z szerokimi uprawnieniami |
Szkolenie z rozpoznawania phishingu | Chroni przed klikaniem w złośliwe załączniki | Nie pomaga, bo nikt nie musi niczego klikać |
Logowanie wieloskładnikowe (MFA) | Utrudnia użycie skradzionego hasła | Nadal kluczowe: odcina najprostszą drogę do konta |
źródło: Pexels, Timothy HuliselanPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, oparty na ogólnym opisie działań grupy Storm-1175 przez Microsoft, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowania, więc atak zaczyna się od zdobycia działającego konta pocztowego, na przykład z wycieku haseł z innego serwisu lub z odgadniętego hasła.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T-dni lub tygodnie | Użycie hasła z wycieków, zgadywanie haseł, przejęcie konta byłego pracownika | Działający login do poczty |
2. Rozpoznanie | T+0 min | Sprawdzenie, czy serwer Exchange jest dostępny z internetu i czy ma poprawkę | Potwierdzony podatny serwer |
3. Wykonanie kodu | T+minuty | Wysłanie spreparowanych danych, które serwer deserializuje | Kod napastnika działa na koncie serwera Exchange |
4. Utrwalenie i ekspansja | T+godziny | Instalacja narzędzi zdalnego dostępu, przejmowanie kont w katalogu użytkowników | Kontrola nad kolejnymi serwerami |
5. Kradzież danych | T+1 dzień | Kopiowanie poczty, dokumentów i danych klientów poza firmę | Materiał do szantażu |
6. Szyfrowanie | T+1 do kilku dni | Uruchomienie ransomware (w przypadku Storm-1175: Medusa) | Przestój i żądanie okupu |
Microsoft podaje, że Storm-1175 przechodzi od wejścia do kradzieży i zaszyfrowania danych w ciągu dni, a czasem w ciągu doby. Miesięczny przegląd przez informatyka nie zdąży zareagować.
Mogę Ci jakoś pomóc?
Serwer Exchange to jeden z najcenniejszych systemów w firmie: ma całą korespondencję, łączy się z katalogiem użytkowników i zwykle jest dostępny z internetu. Luka używana przez grupę ransomware w serwerze, który często ma zaległości w aktualizacjach liczone w latach, to jeden z najpoważniejszych scenariuszy dla MŚP.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak poczty, zaszyfrowane serwery i stacje robocze, zatrzymana obsługa klientów | Dni od wejścia | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek całej korespondencji, umów, danych finansowych klientów | Dni | 40 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zlecenia, koszty zewnętrznych specjalistów i migracji poczty | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Klienci dowiadują się, że ich korespondencja wyciekła; ryzyko publikacji danych przez przestępców | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i zwykle powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Exchange bez poprawki z lutego 2023
dostępnym z internetu
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (wykonanie kodu na serwerze pocztowym, potwierdzone użycie w ransomware), a prawdopodobieństwo wysokie, ale nie najwyższe, bo napastnik musi najpierw zdobyć działające konto; firmy z MFA na wszystkich kontach i zaktualizowanym serwerem są znacznie niżej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać dokładny numer kompilacji każdego serwera Exchange (cztery człony) i porównać z listą z sekcji 1 | Dziś | Administrator Exchange |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizację zabezpieczeń (KB5023038 lub nowszą właściwą dla wersji) | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Wyłączyć konta osób, które odeszły z firmy, i konta nieużywane | Dziś | Administrator / kadry |
4 | 🟠 PILNIE | Włączyć logowanie wieloskładnikowe dla wszystkich kont z dostępem do poczty z internetu | Do 7 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć serwer pod kątem śladów włamania: nowe konta administracyjne, nieznane pliki w katalogach Exchange, nietypowe procesy | Do 7 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Zaplanować migrację z niewspieranych wersji Exchange (2013, 2016, 2019) na wersję wspieraną lub do chmury | Do 30 dni (decyzja) | CTO |
7 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są odseparowane od domeny i serwera pocztowego | Do 30 dni | CTO / administrator |
Microsoft wydał poprawkę w lutym 2023 roku i nie podaje żadnego obejścia ani ustawienia, które zastąpiłoby jej instalację. Poniższe miary tylko ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Logowanie wieloskładnikowe na wszystkich kontach | Średnia do wysokiej: utrudnia zdobycie konta, nie usuwa luki | Średnia |
Wyłączenie nieużywanych kont i wymuszenie zmiany słabych haseł | Średnia | Łatwa |
Ograniczenie dostępu do usług Exchange z internetu (np. tylko przez VPN lub bramę) | Średnia do wysokiej, zależnie od tego, co zostaje wystawione | Średnia: wpływa na pracę mobilną |
Monitorowanie logowań i procesów na serwerze Exchange | Niska jako ochrona, przydatna do szybkiego wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Jedno wyciekłe hasło | Wystarcza do przejęcia serwera poczty | Daje co najwyżej dostęp do jednej skrzynki, a z MFA zwykle nic |
Numer kompilacji | Nieznany lub niższy od wersji z poprawką | Potwierdzony i udokumentowany |
Konta byłych pracowników | Aktywne | Wyłączone |
Wsparcie producenta | Wersja bez poprawek bezpieczeństwa | Plan migracji zatwierdzony |
Zgodność z terminem CISA | Zaległość od 27 kwietnia 2026 | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Uwaga: dokument Microsoftu (aktualizowany 19 sierpnia 2026) nadal oznacza lukę jako niewykorzystywaną; przy rozbieżności planuj według informacji o aktywnych atakach |
Grupy przestępcze | Storm-1175 (opis Microsoft Threat Intelligence z 6 kwietnia 2026) |
Kampanie ransomware | TAK (CISA KEV: Known); Microsoft wiąże Storm-1175 z ransomware Medusa |
Ocena CVSS | 8.8 WYSOKA wg Microsoftu (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji; Microsoft w ocenie czasowej zapisał, że kod ataku nie jest znany |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Piotr Bazydło (Trend Micro Zero Day Initiative) oraz zcgonvh (360 Noah Lab) |
Prognoza EPSS | 0,62 przy percentylu 0,99 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2023-21529
CVSS 3.1 (Microsoft) 8.8/10 ██████████████████░░ WYSOKA
EPSS 0,62 ████████████░░░░░░░░ WYSOKIE (percentyl 0,99)
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana (Medusa)
Poprawka dostępna od 02.2023 ponad 3,5 roku
Mogę Ci jakoś pomóc?
2023-02-14 Microsoft publikuje poprawkę (KB5023038), wpis w NVD
... trzy lata bez sygnałów o atakach
2026-04-06 Microsoft opisuje grupę Storm-1175 i ransomware Medusa
2026-04-13 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-04-27 Termin naprawy wg CISA dla agencji federalnych
2026-08-19 Ostatnia aktualizacja dokumentu Microsoftu
2026-09-17: TUTAJ JESTEŚMY Oficjalny dokument Microsoftu z pakietami aktualizacji: msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21529 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-21529 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma własny serwer Exchange (także stary, „wyłączony”, ale nadal działający) | CTO | DZISIAJ |
2 | Uzyskać pisemnie numer kompilacji każdego serwera Exchange | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację aktualizacji i krótkie okno serwisowe | CTO | DZISIAJ |
4 | Zlecić wyłączenie kont byłych pracowników i przegląd kont nieużywanych | CTO / kadry | DO JUTRA |
5 | Zlecić sprawdzenie serwera pod kątem śladów włamania | CTO | DO JUTRA |
6 | Zarezerwować budżet na migrację poczty z niewspieranej wersji Exchange | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych, znanych luk | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy własny serwer Microsoft Exchange, a jeśli tak, ile? | TAK / NIE, [liczba] | 🔴 |
2 | Jaki jest dokładny numer kompilacji każdego serwera (cztery człony)? | [wersja] | 🔴 |
3 | Kiedy zainstalowano ostatnią aktualizację zabezpieczeń Exchange? | [data] | 🔴 |
4 | Czy wszystkie konta z dostępem do poczty z internetu mają logowanie wieloskładnikowe? | TAK / NIE | 🟠 |
5 | Ile aktywnych kont należy do osób, które już nie pracują w firmie? | [liczba] | 🟠 |
6 | Czy sprawdzono serwer pod kątem nowych kont administracyjnych i nieznanych plików? | TAK / NIE, [data] | 🟠 |
7 | Jaki jest plan i termin przejścia na wspieraną wersję Exchange lub pocztę w chmurze? | [data] | 🟡 |
CVE-2023-21529 pozwala zalogowanemu użytkownikowi uruchomić kod na serwerze Microsoft Exchange, a CISA i Microsoft wiążą jej wykorzystanie z grupą Storm-1175 i ransomware Medusa. Poprawka istnieje od lutego 2023 roku, termin CISA minął 27 kwietnia 2026 roku, więc sprawdzenie numeru kompilacji, aktualizacja i porządek z kontami to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.