El reportero Zack Whittaker y el investigador Kevin Beaumont han realizado una investigación independiente en Internet que sugiere que la causa fue un par de vulnerabilidades críticas en Microsoft Exchange Server, que las grandes organizaciones utilizan para gestionar sus cuentas de correo electrónico. Rastreada como CVE-2022-41080 y CVE-2022-41082, la cadena de ejecución remota de código salió a la luz el 30 de septiembre de 2022, después de que ya hubiera sido explotada activamente durante más de un mes en ataques que instalaban webshells maliciosas en servidores vulnerables. Microsoft publicó directrices para mitigar la amenaza, pero no parcheó las vulnerabilidades hasta el 8 de noviembre, seis semanas después de confirmar la existencia de la cadena de vulnerabilidades de día cero explotada activamente.

En las semanas siguientes al descubrimiento de los zero-days, Beaumont informó de que las medidas de mitigación recomendadas por Microsoft podían eludirse. El miércoles, volvió a culpar a Microsoft, primero por proporcionar orientaciones erróneas y, de nuevo, por tardar tres meses en publicar los parches.

Anuncio

"En ese momento, Microsoft lanzó mitigaciones temporales en lugar de un parche de seguridad: se tardó hasta noviembre de 2022 para que apareciera una actualización de seguridad que resolviera completamente el problema", escribió el investigador. "Esto supuso un retraso significativo. Mientras tanto, las mitigaciones de seguridad que Microsoft proporcionó fueron eludidas repetidamente." Más adelante en el post, añadió: "Microsoft necesita enviar parches de seguridad para Microsoft Exchange Server más rápido. Necesita algún tipo de canalización de parches de emergencia".