De federale Amerikaanse overheid moet de Exchange-updates die Microsoft gisterenavond beschikbaar stelde voor vrijdagmiddag 16 april hebben geïnstalleerd of anders moeten de betreffende Exchange-servers direct worden verwijderd. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security heeft federale overheidsinstanties hier via nieuwe noodinstructies toe opgedragen.

Het CISA kwam eerder al met een "Emergency Directive" voor de recent aangevallen kwetsbaarheden in Exchange en hoe federale overheidsinstanties hiermee moeten omgaan. Vanwege de twee nieuwe beveiligingslekken die gisteren werden verholpen, en het mogelijk maken om kwetsbare Exchange-servers op afstand over te nemen, is er een aanvullende noodrichtlijn afgegeven.

Vooralsnog is er geen misbruik van de twee nieuwe Exchange-lekken waargenomen, maar volgens het CISA kunnen aanvallers de beschikbaar gestelde beveiligingsupdates reverse engineeren en zo een exploit voor de onderliggende kwetsbaarheden ontwikkelen. De twee beveiligingslekken werden door de Amerikaanse geheime dienst NSA en Microsoft ontdekt.

"CISA heeft vastgesteld dat deze kwetsbaarheden een onacceptabel risico voor de federale overheid vormen en direct noodmaatregelen vereisen", aldus de overheidsinstantie. Die houdt rekening met misbruik van de beveiligingslekken en stelt dat dit een grote impact op de integriteit en vertrouwelijkheid van overheidsinformatie kan hebben.

Wanneer federale overheidsinstellingen de beveiligingsupdates niet voor vrijdagmiddag kunnen installeren moeten de betreffende Exchange-servers direct uit het netwerk van de organisatie worden verwijderd, zo staat in de richtlijn vermeld. Alle federale instanties moeten daarnaast vrijdag aan het CISA rapporteren dat ze de patches hebben uitgerold of de servers hebben losgekoppeld. Hoewel de richtlijn alleen voor de federale overheid geldt roept het CISA alle organisaties op om de updates meteen te installeren.