自一月份以來已知的微軟Exchange大規(guī)模黑客漏洞已有數年之久

好像去年影響到微軟的SolarWinds駭客還不夠糟糕，對于信息安全行業(yè)來說，今年似乎開局非常糟糕。全球范圍內的Microsoft Exchange Server受到了威脅，并將電子郵件泄漏給了不僅僅是國家贊助的黑客。不幸的是，如果微軟沒有等兩個月來塞住它已經知道的安全漏洞，這可能已經被阻止或至少得到緩解。

安全研究人員一直在努力尋找計算機和軟件系統(tǒng)中的漏洞，幸運的是，真正優(yōu)秀的人員會立即將其發(fā)現報告給開發(fā)人員和所有者。這并不意味著后者會立即采取行動，特別是在大型，復雜的軟件(例如Windows或Microsoft Exchange)上。有些人甚至可能出于某種原因而推遲采取后續(xù)行動，這可能使微軟付出的代價超過其聲譽。

根據Krebs on Security的最新報告，最早在今年1月5日就報告了在全球范圍內暴露的Microsoft Exchange Server的漏洞，并已由獨立的安全研究人員證實。盡管微軟確實承認了這些報道，但要過一個月才能說出此事已經升級。然后，它將宣布在3月9日的下一個“星期二補丁”中修復漏洞。

微軟可能已經意識到這些漏洞的嚴重性，并決定于3月2日發(fā)布針對四個零日漏洞的補丁程序。但是到那時，已經太遲了，因為在美國已經有30,000個組織因通過這些漏洞安裝的后門而受到損害。事情變得如此糟糕，以至于白宮也就使用這些修復程序的重要性以及黑客攻擊的嚴重性發(fā)表了正式聲明。

奇怪的是，Microsoft的補丁程序也已提供給Exchange Server 2010，這表明這些錯誤可能已經存在了十多年了。不幸的是，受感染系統(tǒng)的數量僅在增加，中國政府資助的黑客組織Ha(Hfnium)可能不再是唯一利用可能早日被修復的漏洞的人。