克里姆林宫黑客正在积极利用最高严重级别的 Exchange Server 漏洞

# 最高严重级别 Exchange 服务器漏洞正遭克里姆林宫黑客积极利用 来源：https://arstechnica.com/security/2026/07/kremlin-hackers-are-exploiting-exchange-flaw-to-backdoor-unpatched-networks/ 安全研究人员周四表示，俄罗斯国家黑客正在利用微软 Outlook 的 Exchange Server 中一个最高严重级别的漏洞，在未打补丁的机器上植入后门，并窃取其中的凭据和其他机密信息。 攻击来自 TA488——这是对为克里姆林宫效力的一个组织的追踪代号，Proofpoint 研究人员周四如是说（[链接](https://www.proofpoint.com/us/blog/threat-insight/cleaning-out-inboxes-ta488-comes-outlook-another-half-click-exploit)）。Proofpoint 与美国国家安全局上周[联合](https://www.proofpoint.com/us/blog/threat-insight/ta488-targets-zimbra-mailservers-half-click-exploits)[警告](https://media.defense.gov/2026/Jul/22/2003965244/-1/-1/1/CSA_RUSSIA_PHISHING_TARGET_ZIMBRA.PDF)称，该组织（也被追踪为 Laundry Bear 和 Void Blizzard）此前曾通过利用 Zimbra 邮件服务中的一个零日漏洞实施类似攻击。如今曝光的情况是，TA488 还在利用 Exchange Server 漏洞，在用户仅打开发送到 Outlook Web Access (OWA) 账户的邮件（无需其他任何操作）时即安装高级恶意软件，这提升了该组织的知名度以及对其能力的评估。 ## 加倍投入 Proofpoint 研究人员写道：“TA488 正在加倍采用‘半点击’漏洞利用方式——只需打开邮件即可触发入侵——并配以显著改进的加载机制、技术和恶意软件，这表明该组织的战术手段和能力有所提升。”“这条新颖的感染链最终会部署一个我们称之为 OWAReaper 的、此前未知的基于 JavaScript 的浏览器植入程序，专为在 OWA 内部实现持久访问而构建。” 该漏洞编号为 CVE-2026-42897，是一个跨站脚本（cross-site scripting，通常缩写为 XSS）漏洞。微软在 5 月提供了[缓解建议](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897)，并于 7 月发布了[补丁](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897)。微软给出了最高严重级别评级。该漏洞源于未能正确过滤嵌入在邮件中的 HTML，可导致恶意 JavaScript 执行。Proofpoint 表示，TA488 可能已将其作为零日漏洞利用。 该恶意 JavaScript 会安装一个新颖的、定制构建的浏览器扩展，使攻击者能够持久访问受害者的 OWA 账户。Proofpoint 表示，这是该公司见过的通过“半点击”漏洞利用方式传播的最复杂的后门。该公司将其命名为 OWAReaper。