CVE-2025-53786: Vulnerabilidad crítica en despliegues híbridos de Microsoft Exchange

Descripción técnica y contexto

CVE-2025-53786 es una vulnerabilidad de elevación de privilegios que impacta entornos híbridos de Microsoft Exchange (integrando Exchange on-premises con Exchange Online en Microsoft 365). El error se origina porque ambos (local y nube) comparten el mismo "service principal" para autenticaciones OAuth y federación, permitiendo que quien controle un servidor Exchange local pueda escalar privilegios silenciosamente a la nube y acceder a datos corporativos críticos sin dejar trazas fácilmente auditable[2][5][8][11][14].

Impacto y escenarios de explotación

• Un atacante que obtenga acceso administrativo local a Exchange puede usar tokens OAuth válidos para manipular autenticación en Exchange Online, pasando controles como Conditional Access y MFA.
• Permite acciones como robo masivo de correos, persistencia en la nube, manipulación de claves criptográficas y control de flujos internos de comunicación.
• La explotación no deja rastros fáciles en los logs de seguridad (movimientos laterales invisibles).
• Se han demostrado escenarios de ataque y PoC en la conferencia Black Hat 2025[2][5].
• Más de 28,000 servidores Exchange híbridos siguen expuestos públicamente y sin parchear a la fecha[7][15].

Versiones y productos afectados

• Exchange Server 2016 CU23 anteriores a 15.01.2507.055
• Exchange Server 2019 CU14 anteriores a 15.02.1544.025
• Exchange Server 2019 CU15 anteriores a 15.02.1748.024
• Subscription Edition RTM anteriores a 15.02.2562.017

Medidas de mitigación y recomendaciones

• Instalar el Hotfix o versión actualizada publicada por Microsoft en todos los servidores locales Exchange[2][5][8][14][16].
• Configurar una identidad dedicada como "Exchange hybrid app" para federación (evitar el service principal compartido).
• Resetear las claves ("keyCredentials") del service principal antiguo (AzureAD/Entra ID).
• Si tu organización dejó de usar federación híbrida, revoca manualmente las claves expuestas y elimina el service principal antiguo para evitar persistencia de tokens robados[11].
• Desconectar temporalmente servidores Exchange de Internet hasta completar parcheo, y revisar logs de actividad sospechosa.
• CISA y CERTs recomiendan completar mitigación antes del 11 de agosto de 2025 en entornos gubernamentales[14][16].

Tabla resumen técnica