מיקרוסופט תיקנה חולשה בשרתי Exchange המותקנים בארגון שמאפשרת למשתמש בעל חשבון להריץ קוד על שרת הדואר עצמו. הציון שלה הוא 8.8, והיא נכנסה באפריל 2026 לרשימת החולשות המנוצלות בפועל.
מה החולשה?
שרת Exchange הוא שרת הדואר של הארגון. הוא מחזיק את כל תיבות הדואר, את היומנים ואת אנשי הקשר, ולכן שליטה בו שקולה לגישה לתקשורת של הארגון כולו.
החולשה היא מסוג דה-סריאליזציה: התהליך שבו רצף בייטים שהגיע מבחוץ הופך בחזרה לאובייקט חי בזיכרון של התוכנה. כשהתהליך הזה מתבצע על נתונים שלא נבדקו, תוקף יכול לבנות רצף שמתאר אובייקט שברגע הבנייה מפעיל פעולות שהוא בחר.
הניצול דורש חשבון קיים, וזה סף נמוך יותר משנשמע. בשרת דואר, כל עובד בארגון הוא בעל חשבון. חשבון שנגנב בפישינג, שהוא הדרך הנפוצה ביותר להשיג גישה ראשונית, מספיק כדי לעבור את הסף.
שרתי Exchange מקומיים הם מטרה מועדפת מזה שנים, ולא במקרה: הם מחזיקים מידע רגיש, הם לרוב נגישים מהאינטרנט כדי לאפשר דואר מבחוץ, והם מורכבים מכדי שיהיה קל לעדכן אותם.
מי מושפע?
ארגונים שמפעילים Exchange Server 2013, 2016 או 2019 בגרסאות שלפני התיקון.
מדובר בשרת שהארגון מתקין ומתחזק בעצמו. ארגונים שעברו לדואר בענן אינם מפעילים אותו, אבל לא מעט ארגונים בישראל נשארו עם שרת מקומי או עם מבנה מעורב שבו השרת עדיין קיים.
האם מנוצלת בפועל?
כן. ב-13 באפריל 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בשטח.
שימו לב לפער: החולשה פורסמה ב-2023 ונכנסה לרשימת הניצול ב-2026. זה אומר שהיא נוצלה נגד שרתים שלא עודכנו במשך שלוש שנים, וכאלה קיימים.
מה עושים?
התקינו את העדכון של מיקרוסופט. הפרטים נמצאים בדף החולשה.
אם השרת לא עודכן מאז 2023, אל תסתפקו בכך. שרת דואר שהיה חשוף שנים היה כמעט בוודאות נסרק, ושווה לבדוק אותו: חפשו כללי העברת דואר שנוספו בלי בקשה, חשבונות עם הרשאות חדשות, וקבצים שנוספו לספריות השרת.
כללי העברה הם הנקודה שהכי קל לפספס. תוקף שמשיג גישה לשרת דואר מגדיר לא פעם העברה אוטומטית של דואר החוצה, וזאת פעולה שממשיכה לעבוד גם אחרי שהחולשה נסגרה.
בטווח הארוך, שווה לבחון אם השרת המקומי עדיין נחוץ. שרת Exchange מקומי דורש מחזור עדכונים הדוק, וארגונים רבים מגלים שהם לא עומדים בו.