به‌روزرسانی ویندوز سرور Exchange را مختل کرد؛ راهکار موقت مایکروسافت چیست؟

مایکروسافت تأیید کرده است که به‌روزرسانی‌های امنیتی اکتبر ۲۰۲۶ ویندوز سرور می‌توانند در برخی محیط‌های Exchange Server محلی، ورود به Outlook on the web یا OWA و جریان ارسال ایمیل را مختل کنند. گزارش تازه‌ای که ۱۹ اکتبر منتشر شده، می‌گوید پیام‌ها ممکن است در Outbox بمانند، دسترسی به صندوق‌های پستی با خطا روبه‌رو شود و عملیات همانندسازی صندوق‌ها نیز مشکل پیدا کند.

این رخداد یک حمله سایبری یا نقص امنیتی تازه در Exchange معرفی نشده است. مسئله به تغییری در مدیریت منابع Windows Server مربوط می‌شود که پس از نصب به‌روزرسانی اکتبر فعال می‌شود. مایکروسافت درحال آماده‌کردن اصلاح است و فعلاً یک راهکار موقت مبتنی بر Registry پیشنهاد کرده؛ بااین‌حال مدیران باید پیش از اعمال آن، دامنه اثر را تأیید، پشتیبان تنظیمات را نگه‌داری و پس از راه‌اندازی مجدد، مصرف حافظه و جریان ایمیل را پایش کنند.

چه سامانه‌هایی در معرض اختلال‌اند؟

دامنه اعلام‌شده شامل سرورهای Exchange محلی است که روی Windows Server 2019 یا نسخه‌های جدیدتر اجرا می‌شوند و به‌روزرسانی امنیتی اکتبر ۲۰۲۶ ویندوز روی آنها نصب شده است. شدت مشکل برای همه سازمان‌ها یکسان نیست. براساس توضیح مایکروسافت که در گزارش BleepingComputer نقل شده، میزان بار Exchange تعیین می‌کند اختلال با چه سرعت و شدتی ظاهر شود؛ بعضی سرورها ممکن است هرگز علامتی نشان ندهند.

این تفاوت مهم است، زیرا صرف نصب به‌روزرسانی به معنی خرابی قطعی نیست. محیط‌های پرترافیک، خوشه‌هایی که هم‌زمان درخواست‌های زیادی برای دسترسی به صندوق‌ها دارند و سامانه‌هایی که در ساعت اوج بار نزدیک سقف منابع خود کار می‌کنند، بیشتر در معرض کمبود ظرفیت تازه قرار می‌گیرند. بنابراین تصمیم عملی نباید فقط بر شماره نسخه یا زمان نصب تکیه کند؛ وضعیت واقعی صف‌ها، خطاهای OWA، رخدادهای ثبت‌شده و سلامت همانندسازی باید بررسی شود.

نشانه‌های قابل مشاهده چیست؟

سه علامت اصلی گزارش شده است. نخست، برخی کاربران نمی‌توانند وارد OWA شوند یا هنگام دسترسی به ایمیل در مرورگر خطا می‌بینند. دوم، پیام‌هایی که از Outlook ارسال می‌شوند ممکن است در پوشه Outbox باقی بمانند و تحویل نشوند. سوم، Exchange در دسترسی به صندوق‌های پستی هنگام mailbox replication دچار مشکل می‌شود؛ موضوعی که برای جابه‌جایی، نگه‌داری و تاب‌آوری زیرساخت اهمیت دارد.

در بعضی محیط‌ها خطای MapiExceptionMdbOffline با مضمون ناتوانی در اتصال به سرور و کد ec=1142 دیده شده و Event ID 1006 نیز در Application Log ثبت می‌شود. وجود این نشانه‌ها می‌تواند دامنه تشخیص را محدود کند، اما نبود یکی از آنها به‌تنهایی مشکل را رد نمی‌کند. مدیر باید هم وضعیت سرویس‌های Exchange و هم لاگ‌های Windows Server را در بازه پس از نصب به‌روزرسانی با وضعیت پیشین مقایسه کند.

علت فنی: سقف تازه Endpoint Mapper

تغییر اکتبر یک سقف پیش‌فرض برای مقدار حافظه مورد استفاده Endpoint Mapper هنگام رسیدگی به درخواست‌های Endpoint Lookup ایجاد کرده است. مقدار پیش‌فرض برای ۵۱۲ فراخوانی هم‌زمان تنظیم شده؛ ظرفیتی که به گفته مایکروسافت ممکن است برای بارهای کاری Exchange در زمان فشار زیاد کافی نباشد.

Endpoint Mapper بخشی از زیرساخت RPC است و به سرویس‌ها کمک می‌کند مقصد مناسب ارتباط را پیدا کنند. وقتی شمار درخواست‌های هم‌زمان از ظرفیت در دسترس عبور کند، زنجیره ارتباط میان اجزای Exchange می‌تواند مختل شود. نتیجه برای کاربر ممکن است فقط «ورود ناموفق» یا «ایمیل ارسال‌نشده» باشد، اما در لایه زیرین، مسئله محدودیت در مدیریت فراخوانی‌های هم‌زمان است؛ نه لزوماً خرابی پایگاه داده صندوق پستی یا قطع شبکه.

این تفکیک از یک تصمیم اشتباه جلوگیری می‌کند: مایکروسافت گفته مشکل از به‌روزرسانی‌های امنیتی اکتبر خود Exchange Server ناشی نمی‌شود. هر نسخه Exchange که روی نسخه آسیب‌پذیر Windows Server اجرا شود می‌تواند تحت تأثیر قرار گیرد. بنابراین حذف وصله Exchange یا نسبت‌دادن اختلال به آن، مسیر تشخیص را منحرف می‌کند.

راهکار موقت مایکروسافت چیست؟

تا زمان عرضه اصلاح دائمی، مایکروسافت افزایش سقف Endpoint Mapper را با ایجاد یا تغییر مقدار Registry پیشنهاد کرده است. فرمانی که در گزارش منتشر شده باید از Command Prompt با دسترسی مدیریتی روی سرور Exchange اجرا شود:

reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f

پس از اعمال این تغییر، سرور باید راه‌اندازی مجدد شود. این مرحله برای سرویس حیاتی ایمیل یک اقدام عادی و بی‌اثر نیست؛ بهتر است سازمان آن را در پنجره نگه‌داری، با برنامه بازگشت و پس از ثبت وضعیت اولیه انجام دهد. اگر زیرساخت چندسروری یا دسترس‌پذیری بالا دارد، تغییر و reboot باید به‌صورت مرحله‌ای انجام شود تا همه گره‌ها هم‌زمان از سرویس خارج نشوند.

مایکروسافت همچنین توصیه کرده است پس از راه‌اندازی مجدد، محیط Exchange پایش شود و اگر مشکل دوباره رخ داد، سقف Endpoint Mapper متناسب با نیاز افزایش یابد. این جمله به معنی آن نیست که هر سازمان باید بدون اندازه‌گیری مقدار بالاتری انتخاب کند. افزایش ظرفیت می‌تواند مصرف حافظه را بیشتر کند؛ بنابراین تغییر باید همراه با مشاهده بار واقعی، رویدادها و شاخص‌های سلامت Exchange باشد.

چه کاری نباید انجام داد؟

مهم‌ترین هشدار، حذف‌نکردن به‌روزرسانی‌های امنیتی Exchange است. گزارش صریحاً می‌گوید اختلال با وصله‌های امنیتی اکتبر Exchange ارتباط ندارد و منشأ آن به‌روزرسانی Windows Server است. عقب‌گرد شتاب‌زده از وصله‌های امنیتی می‌تواند سرور ایمیل را در برابر آسیب‌پذیری‌هایی که همان وصله‌ها رفع کرده‌اند بی‌دفاع بگذارد، بدون آنکه علت واقعی اختلال را برطرف کند.

همچنین نباید یک خطای ورود کاربر را فوراً به این رخداد نسبت داد. مشکل گذرواژه، گواهی، DNS، پراکسی، ظرفیت ذخیره‌سازی و سلامت پایگاه داده می‌تواند علائم مشابه ایجاد کند. تطبیق زمان شروع اختلال با نصب به‌روزرسانی، مشاهده Event ID و بررسی فشار هم‌زمان درخواست‌ها برای تشخیص لازم است.

چک‌لیست کوتاه برای مدیران Exchange

• نسخه Windows Server و زمان نصب به‌روزرسانی امنیتی اکتبر ۲۰۲۶ را ثبت کنید.
• ورود OWA، صف ارسال، Outbox کاربران و وضعیت mailbox replication را بررسی کنید.
• Application Log را برای Event ID 1006 و خطاهای MAPI مرتبط بازبینی کنید.
• پیش از تغییر Registry، مقدار موجود و تنظیمات فعلی را ثبت و برنامه بازگشت آماده کنید.
• راه‌اندازی مجدد را در پنجره نگه‌داری و در محیط چندگرهی به‌صورت مرحله‌ای انجام دهید.
• پس از تغییر، مصرف حافظه، نرخ خطا، صف ایمیل و سلامت سرویس را با خط مبنا مقایسه کنید.
• برای اصلاح دائمی، اطلاعیه‌های بعدی مایکروسافت را دنبال کنید و راهکار موقت را جایگزین مدیریت وصله ندانید.

چرا این اختلال اهمیت دارد؟

Exchange محلی هنوز در بسیاری از سازمان‌ها زیرساخت ارتباطی اصلی است. اختلالی که هم ورود وب و هم جریان تحویل پیام را درگیر کند می‌تواند از یک مشکل کاربری ساده به توقف عملیات، تأخیر در هشدارهای سامانه‌ای و شکست فرایندهای کسب‌وکار تبدیل شود. از سوی دیگر، چون شدت اثر به بار سرور وابسته است، ممکن است مشکل در آزمایش کم‌فشار دیده نشود و تازه در ساعت شلوغ ظاهر شود.

در حال حاضر یک راهکار موقت وجود دارد، اما اصلاح دائمی هنوز منتشر نشده است. نتیجه عملی برای مدیران این است که وصله امنیتی را با خرابی اشتباه نگیرند، نشانه‌های واقعی را اندازه‌گیری کنند و تغییر Registry را کنترل‌شده به کار ببرند. برای کاربران نهایی نیز باقی‌ماندن پیام در Outbox یا شکست ورود OWA باید سریع گزارش شود، زیرا تجمع این نشانه‌ها می‌تواند محدودیت ظرفیت در سطح سرور را آشکار کند.