日本マイクロソフト株式会社は9月30日、Microsoft Exchange サーバのゼロデイ脆弱性について同社ブログで発表した。ベトナムに本拠を持つセキュリティ企業「GTSC」が同社ブログで公開し、トレンドマイクロが運営するZero Day Initiativeを経由しマイクロソフトに報告を行っている。
マイクロソフトでは現在、Microsoft Exchange Server 2013、2016、2019 に影響を及ぼす2件のゼロデイの脆弱性を調査している。1件目は、サーバーサイド リクエスト フォージェリ（SSRF）の脆弱性（CVE-2022-41040）で、2件目はPowerShell に攻撃者がアクセスできる場合にリモートでコードが実行される（RCE）可能性がある脆弱性（CVE-2022-41082）。
マイクロソフトでは現時点で、これら2つの脆弱性を使用してユーザーのシステムに侵入する限定的な標的型攻撃を確認している。これらの攻撃では、CVE-2022-41040 により認証された攻撃者が CVE-2022-41082 をリモートで実行する可能性がある。これら2つの脆弱性のいずれかを悪用するには、脆弱な Exchange Server への認証されたアクセスが必要となる。
マイクロソフトでは修正プログラムをリリースするまでの間、緩和策と検出に関するガイダンスを提供している。
