De Amerikaanse overheid heeft federale overheidsinstanties een patchbevel gegeven voor een kwetsbaarheid in Microsoft Exchange die gebruikt is bij ransomware-aanvallen. Het beveiligingslek, aangeduid als CVE-2022-41080, werd onder andere gebruikt tegen hostingbedrijf Rackspace, dat had nagelaten de beschikbare beveiligingsupdate te installeren.

Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security houdt een lijst bij van actief aangevallen kwetsbaarheden en kan federale overheidsinstanties opdragen om de betreffende patches voor deze beveiligingslekken voor een bepaalde datum te installeren. Dat is mogelijk door een "Binding Operational Directive".

Het gaat in dit geval om richtlijnen die moeten worden gevolgd voor het beschermen van systemen tegen kwetsbaarheden waarvan bekend is dat er misbruik van wordt gemaakt. Amerikaanse federale overheidsinstanties zijn verplicht om de Directives van het ministerie van Homeland Security te volgen.

Eind december maakte securitybedrijf Crowdstrike bekend dat de criminelen achter de Play-ransomware misbruik van de Exchange-kwetsbaarheden CVE-2022-41080 en CVE-2022-41082 maakten voor het aanvallen van organisaties. Microsoft waarschuwde eind september dat aanvallers actief misbruik van CVE-2022-41082 en nog een andere Exchange-kwetsbaarheid maakten.

Om organisaties te beschermen kwam het techbedrijf met tijdelijke mitigatiemaatregelen die uit url-rewrites bestonden. Via deze url-rewrites moest misbruik van de twee beveiligingslekken worden voorkomen. Op 8 november kwam Microsoft met beveiligingsupdates om de twee kwetsbaarheden, alsmede CVE-2022-41080, te verhelpen. Microsoft adviseerde organisaties op deze datum ook om de url-rewrites niet meer te gebruiken en de beschikbare patch te installeren.

Hostingbedrijf Rackspace raakte op 2 december via Exchange-kwetsbaarheid CVE-2022-41080 besmet met de Play-ransomware, waardoor klanten geen toegang meer tot hun e-mail hadden. Rackspace besloot de updates niet te installeren omdat er operationele problemen mee zouden zijn, aldus een woordvoerder. De gemeente Antwerpen werd ook slachtoffer van de Play-ransomware, de gebruikte infectievector is nog niet bekendgemaakt. Het CISA heeft Amerikaanse federale overheidsinstanties nu opgedragen om de patch voor 31 januari te installeren.