8.8Yüksek KEV Fidye yazılımında kullanılıyor

CVE-2020-0688Microsoft Exchange Server Validation Key Remote Code Execution Vulnerability

Microsoft Microsoft Exchange Server 2013; Microsoft Microsoft Exchange Server 2019 Cumulative Update 3; Microsoft Microsoft Exchange Server 2016 Cumulative Upd… Yayım: 2020-02-12 00:22 (6 yıl önce)

Aktif olarak istismar ediliyor — Microsoft Exchange Server Validation Key Remote Code Execution Vulnerability

CISA bu açığın gerçek saldırılarda kullanıldığını 03.11.2021 tarihinde doğruladı. ABD federal kurumları için düzeltme son tarihi: 03.05.2022.

Gerekli işlem: Apply updates per vendor instructions. https://nvd.nist.gov/vuln/detail/CVE-2020-0688

Açıklama

A remote code execution vulnerability exists in Microsoft Exchange software when the software fails to properly handle objects in memory, aka 'Microsoft Exchange Memory Corruption Vulnerability'.

Zayıflık türü (CWE): CWE-287

Veri: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Bilgiler kaynaktaki haliyle, İngilizce yayımlanır.

Etkilenen ürünler ve sürümler

Üretici	Ürün	Sürümler
microsoft	exchange server	2010
Microsoft	Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 30	unspecified
Microsoft	Microsoft Exchange Server 2013	Cumulative Update 23
Microsoft	Microsoft Exchange Server 2016 Cumulative Update 14	unspecified
Microsoft	Microsoft Exchange Server 2016 Cumulative Update 15	unspecified
Microsoft	Microsoft Exchange Server 2019 Cumulative Update 3	unspecified
Microsoft	Microsoft Exchange Server 2019 Cumulative Update 4	unspecified

Kaynaklar ve yamalar

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688 PatchVendor Advisory
https://www.zerodayinitiative.com/advisories/ZDI-20-258/ Third Party AdvisoryVDB Entry
http://packetstormsecurity.com/files/156592/Microsoft-Exchange-2019-15.2.221.12-Remote-Code-Execution.html ExploitThird Party AdvisoryVDB Entry
http://packetstormsecurity.com/files/156620/Exchange-Control-Panel-Viewstate-Deserialization.html ExploitThird Party AdvisoryVDB Entry
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0688 US Government Resource

CPE eşleşmeleri (NVD) (6)

cpe:2.3:a:microsoft:exchange_server:2010:sp3_rollup_30:*:*:*:*:*:*
cpe:2.3:a:microsoft:exchange_server:2013:cumulative_update_23:*:*:*:*:*:*
cpe:2.3:a:microsoft:exchange_server:2016:cumulative_update_14:*:*:*:*:*:*
cpe:2.3:a:microsoft:exchange_server:2016:cumulative_update_15:*:*:*:*:*:*
cpe:2.3:a:microsoft:exchange_server:2019:cumulative_update_3:*:*:*:*:*:*
cpe:2.3:a:microsoft:exchange_server:2019:cumulative_update_4:*:*:*:*:*:*

CVSS puanı

8.8Yüksek

Kaynak: CISA-ADP · CVSS 3.1

Saldırı yolu: Ağ
Karmaşıklık: Düşük
Gereken yetki: Düşük
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik: Yüksek
Bütünlük: Yüksek
Erişilebilirlik: Yüksek

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Tüm puanlar (4)

CISA-ADP	CVSS 3.1	8.8Yüksek
nvd	CVSS 3.1	8.8Yüksek
134c704f-9b21-4f2e-91b3-4a467353bcc0	CVSS 3.1	8.8Yüksek
nvd	CVSS 2.0	9.0Yüksek

EPSS (30 günde istismar olasılığı)

99.95%

tüm CVE'lerin %100'inden yüksek

CISA değerlendirmesi (SSVC)

İstismar: active
Otomatikleştirilebilir: no
Teknik etki: total

Zaman çizelgesi

Numara ayrıldı2019-11-04
Yayımlandı2020-02-12 00:22
IP-DB'ye ulaştı2026-10-24 23:35
KEV'e eklendi2021-11-03
Son güncelleme2026-06-17 05:46

Numarayı veren (CNA): microsoft
NVD durumu: Analyzed

Kaynakta görüntüle: CVE.org · NVD

Bu ürünlerde yeni bir açık çıktığında haber alın

E-posta uyarılarını aç

Ücretsiz · üyelikle · istediğiniz an kapatılır

Aynı üründe son açıklar — Microsoft Exchange Server

9.3Kritik

CVE-2026-70279 21 gün önce

Microsoft Exchange Server Spoofing Vulnerability

Microsoft Microsoft Exchange Server 2016 Cumulative Update 23; Microsoft Microsoft Exchange Server 2019 Cumulative Update 14; Microsoft Microsoft Exchange Server 2019 Cumulative Update 15; Microsoft Microsoft Exchange Server Subscription Edition RTM

Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.

1.3%EPSS

8.1Yüksek

CVE-2026-70571 21 gün önce

Microsoft Exchange Server Remote Code Execution Vulnerability

Stack-based buffer overflow in Microsoft Exchange Server allows an unauthorized attacker to execute code over a network.

1.4%EPSS

8.8Yüksek

CVE-2026-77910 21 gün önce

Microsoft Exchange Server Elevation of Privilege Vulnerability

Incorrect authorization in Microsoft Exchange Server allows an authorized attacker to elevate privileges over a network.

7.8Yüksek

CVE-2026-87692 21 gün önce

Microsoft Exchange Server Elevation of Privilege Vulnerability

Microsoft Microsoft Exchange Server 2016 Cumulative Update 23; Microsoft Microsoft Exchange Server 2019 Cumulative Update 14; Microsoft Microsoft Exchange Server Subscription Edition RTM

Deserialization of untrusted data in Microsoft Exchange Server allows an authorized attacker to elevate privileges locally.

2.3%EPSS

7.8Yüksek

CVE-2026-87695 21 gün önce

Microsoft Exchange Server Elevation of Privilege Vulnerability

Inclusion of functionality from untrusted control sphere in Microsoft Exchange Server allows an authorized attacker to elevate privileges locally.

7.5Yüksek

CVE-2026-87696 21 gün önce

Microsoft Exchange Server Elevation of Privilege Vulnerability

Improper verification of cryptographic signature in Microsoft Exchange Server allows an authorized attacker to elevate privileges over a network.