Почти 22 000 Microsoft Exchange сървъра, достъпни през интернет, все още не са защитени срещу критична за корпоративната комуникация уязвимост, която може да позволи на нападатели да получат контрол върху пощенските кутии на всички потребители.
Уязвимостта превръща Exchange в стратегическа мишена
Уязвимостта CVE-2026-62911 засяга Microsoft Exchange Server 2016, Exchange Server 2019 и Exchange Server Subscription Edition. Проблемът е свързан със заобикаляне на удостоверяването чрез механизъм за capture-replay и може да бъде използван от атакуващ с базови права върху целевия сървър.
Особено сериозен е потенциалният резултат. При успешна атака нападателят може да поеме пощенските кутии на всички потребители, да изпраща и чете електронни съобщения и да сваля прикачени файлове.
Това поставя уязвимостта в различна категория от обикновените софтуерни дефекти. Компрометирането на Exchange може да осигури достъп не само до техническа инфраструктура, но и до огромен обем корпоративна комуникация и чувствителна информация.
Експлойтът вече е публично достъпен
Microsoft отстрани CVE-2026-62911 с актуализациите от август 2026 г., но междувременно Нидерландският национален център за киберсигурност предупреди, че код за експлоатация вече е достъпен онлайн.
Макар към момента да няма потвърждение, че уязвимостта се използва масово в реални атаки, наличието на публичен exploit съществено променя риска. За нападателите вече не е необходимо самостоятелно да разработват техниката за експлоатация.
Shadowserver е идентифицирал 21 899 IP адреса, свързани с Exchange сървъри, които изглеждат изложени в интернет и все още не са защитени. Най-много са в САЩ и Германия.
Старите версии са допълнителен проблем
Ситуацията е още по-сложна за организациите, които продължават да използват Exchange 2016 и 2019. Тези версии вече получават актуализации за сигурност чрез Extended Security Updates, което увеличава необходимостта от планиране на миграция.
Германската служба за информационна сигурност BSI предупреди, че около 85% от локалните Exchange сървъри в Германия все още са уязвими.
Историята показва защо подобни предупреждения трябва да се приемат сериозно. През последните години множество Exchange уязвимости са били активно експлоатирани, включително при ransomware кампании.
Patch-ът вече не е достатъчен като стратегия
За организациите първата стъпка е очевидна – незабавно инсталиране на актуализациите за CVE-2026-62911. Но защитата не трябва да приключва с това.
При интернет-достъпен Exchange сървър е необходимо да се провери дали системата действително е обновена, да се анализират логовете за подозрителна активност и да се оцени дали сървърът изобщо трябва да бъде публично достъпен.
При старите версии трябва да се разгледа и миграция към поддържана платформа.
Причината е проста: Exchange съдържа комуникацията на организацията. Ако нападател получи достъп до него, той може да придобие не просто акаунт, а прозорец към целия бизнес – кореспонденция, документи, договори, идентификационни данни и информация за вътрешните процеси.
