Prawie 22 tys. serwerów Exchange bez łatek

Prawie 22 tysiące serwerów Exchange bez aktualizacji

Wciąż ogromna liczba publicznie dostępnych serwerów Microsoft Exchange pozostaje narażona na groźną lukę oznaczoną jako CVE-2026-62911. Najnowsze skany internetu wykazały 21 899 instancji, które nie mają zainstalowanej poprawki, a więc mogą być podatne na atak.

Problem dotyczy przede wszystkim środowisk wystawionych bezpośrednio do sieci. Wśród krajów z największą liczbą potencjalnie zagrożonych systemów znalazły się Stany Zjednoczone z ponad 6200 serwerami oraz Niemcy z około 5100. W statystykach widać też Francję z 693 instancjami i Szwajcarię z 393.

Co potrafi CVE-2026-62911

Luka została oceniona jako wysokiego ryzyka i pozwala na obejście uwierzytelniania w mechanizmie typu capture-replay. W praktyce oznacza to, że atakujący z odpowiednimi uprawnieniami i po spełnieniu warunków opisanych przez producenta może rozszerzyć swoje prawa w sieci i przejąć kontrolę nad kontami pocztowymi użytkowników Exchange.

Skutki mogą być bardzo poważne:

• wysyłanie wiadomości z przejętych skrzynek,
• odczytywanie poczty,
• pobieranie załączników,
• dalsze nadużycia w ramach firmowej infrastruktury.

Kogo dotyczy problem

Podatne są następujące wersje:

• Exchange Server 2016,
• Exchange Server 2019,
• Exchange Server Subscription Edition (SE).

Luka była jednym z tematów konkursu Pwn2Own Berlin 2026, gdzie odkrył ją Orange Tsai z zespołu DEVCORE. Po publikacji technicznych szczegółów pojawił się także PoC dostępny publicznie, co podnosi ryzyko szybkiego wykorzystania błędu przez przestępców.

Łatki są dostępne od 11 sierpnia 2026

Microsoft udostępnił poprawki podczas sierpniowego Patch Tuesday. Administratorzy powinni sprawdzić, czy ich środowiska mają zainstalowane odpowiednie buildy:

• Exchange Server 2016 CU23 – build 15.1.2507.72,
• Exchange Server 2019 CU14 – build 15.2.1544.44,
• Exchange Server 2019 CU15 – build 15.2.1748.49 (KB5121574),
• Exchange Server Subscription Edition RTM – build 15.2.2562.46 (KB5121573).

Warto pamiętać, że Exchange Server 2016 i 2019 nie są już wspierane od 14 października 2025 r.. Na tych instalacjach sierpniowa poprawka jest dostarczana w ramach programu Extended Security Updates.

Dlaczego to ważne

Choć luka nie znajduje się jeszcze w katalogu KEV amerykańskiej agencji CISA, to publiczny PoC i skala niezałatanych systemów sprawiają, że administratorzy nie powinni zwlekać. W przypadku Exchange opóźnianie aktualizacji może oznaczać nie tylko utratę poczty, ale też dalszy ruch boczny w sieci firmowej i eskalację incydentu.

Najkrócej: jeśli serwer Exchange jest wystawiony do internetu, powinien być już dawno po aktualizacji.