BSIによると、ドイツ国内の10台中9台のExchangeサーバーが依然として古いソフトウェアで稼働しています。そのため、攻撃のリスクがあります。
Smile Studio AP – shutterstock.com
MicrosoftのExchange Server 2016および2019のサポートは、予定通り2025年10月14日に終了しました。それ以降、これらのバージョンにはセキュリティアップデートが提供されていません。連邦情報セキュリティ庁（BSI）は、国内で約33,000台の公開されているExchangeサーバーの大半が、依然としてOutlook Web Access 2019またはそれ以前のバージョンで稼働していることを確認しました。
「今後、Microsoft Exchangeに重大な脆弱性が発見された場合—過去数年で何度も発生しているように—、セキュリティアップデートで対処することができません」と当局は警告しています。該当するExchangeサーバーは、そのような場合、即座にネットワークから切り離して、侵害を防ぐ必要があります。
ランサムウェア攻撃の可能性
BSIによれば、Exchangeサーバーへの攻撃は、ネットワーク構造が単純で、セグメント化や強化が不十分なため、しばしばネットワーク全体の完全な侵害につながります。その結果、データ窃取や身代金要求を伴うランサムウェア攻撃、さらには数週間にわたる生産停止のリスクが生じます。
「Exchangeサーバーでは個人データが処理されているため、古いバージョンの継続運用は、DSGVO（一般データ保護規則）違反にもなります」とセキュリティ当局は警告しています。
BSIによると、このセキュリティ問題は数千の企業だけでなく、病院、診療所、学校や大学、市営事業体、自治体など、多くの公共部門の組織にも影響を及ぼしています。
アップグレードが必要
Microsoftは、拡張セキュリティアップデートプログラム（ESU）により、2026年4月14日まで重大な脆弱性に対する追加のセキュリティアップデートを提供していますが、これには追加の費用がかかり、システムのアップグレードや移行に必要な対応が先送りされることになります。
そのためBSIは、該当するExchangeサーバーの運用者に対し、直ちにバージョンSEへのアップグレード、または代替ソリューションへの移行を実施するよう呼びかけています。さらに、Exchangeサーバーのウェブベースサービス（Outlook Web Accessなど）をインターネットから直接アクセス可能にするのではなく、信頼できる送信元IPアドレスにアクセスを制限するか、VPN経由で保護することを推奨しています。
翻訳元: https://www.csoonline.com/article/4081115/zehntausende-exchange-server-in-deutschland-gefahrdet.html
