Microsoft Exchange espone quasi 22.000 server alla falla CVE-2026-62911

🛡️ Executive Summary

• CVE-2026-62911 permette un authentication bypass tramite capture-replay e può portare all’escalation dei privilegi su Microsoft Exchange Server.
• Shadowserver rileva 21.899 indirizzi IP Exchange ancora vulnerabili ed esposti online, soprattutto negli Stati Uniti e in Germania.
• Microsoft ha corretto la falla l’11 agosto 2026; Exchange 2016 e 2019 richiedono ESU oppure migrazione a Exchange Subscription Edition.

Quasi 22.000 server Microsoft Exchange risultano ancora esposti a Internet senza la correzione per CVE-2026-62911, vulnerabilità di gravità elevata che colpisce Exchange Server 2016, Exchange Server 2019 ed Exchange Server Subscription Edition. Il problema, segnalato da Orange Tsai del DEVCORE Research Team, riguarda un authentication bypass basato su capture-replay e può consentire a un attaccante con privilegi iniziali limitati di aumentare i propri permessi attraverso la rete. La situazione diventa più critica perché codice di exploit risulta già disponibile pubblicamente, mentre Microsoft ha distribuito la patch con il Patch Tuesday dell’11 agosto. Shadowserver continua però a individuare 21.899 IP riconducibili a server Exchange vulnerabili e direttamente raggiungibili da Internet.

CVE-2026-62911 colpisce Exchange 2016, 2019 e Subscription Edition

La vulnerabilità è stata registrata come CVE-2026-62911 e Microsoft la classifica con un punteggio CVSS 8.0, vettore di attacco di rete, complessità bassa, privilegi richiesti bassi e impatto elevato su confidenzialità, integrità e disponibilità. L’advisory Microsoft Security Response Center descrive il problema come un authentication bypass tramite capture-replay che consente a un attaccante autorizzato di elevare i privilegi attraverso la rete. Il meccanismo appartiene alla categoria CWE-294, nella quale un aggressore riesce a riutilizzare informazioni di autenticazione o messaggi validi catturati precedentemente, inducendo il sistema a considerarli nuovamente autentici. Le versioni interessate comprendono Exchange Server 2016 CU23, Exchange Server 2019 CU14 e CU15 ed Exchange Server Subscription Edition RTM. Microsoft indica come vulnerabili rispettivamente le build precedenti a 15.01.2507.072, 15.02.1544.044, 15.02.1748.049 e 15.02.2562.046. La falla è stata segnalata a Microsoft il 21 maggio 2026 e resa pubblica insieme alla patch l’11 agosto, nello stesso ciclo di sicurezza che ha corretto centinaia di vulnerabilità nell’ecosistema Microsoft e che Matrice Digitale ha analizzato nel Patch Tuesday di agosto 2026.

DEVCORE dimostra che il bypass può diventare una compromissione completa

Il contesto tecnico fornito da Trend Micro Zero Day Initiative rende più chiaro perché la vulnerabilità debba essere trattata con priorità elevata. L’advisory ZDI dedicato alla falla spiega che il difetto risiede nella gestione impropria delle richieste di autorizzazione e nella gestione delle sessioni. Sebbene l’autenticazione sia formalmente richiesta, il meccanismo può essere aggirato e il difetto può essere concatenato con altre vulnerabilità fino a raggiungere esecuzione di codice nel contesto SYSTEM. ZDI attribuisce alla propria variante di analisi un punteggio CVSS 8.8 e specifica che la vulnerabilità è stata scoperta durante attività collegate a Pwn2Own dal ricercatore Orange Tsai. Un secondo advisory ZDI attribuito allo stesso CVE descrive inoltre un difetto nella validazione dei percorsi di file che può essere utilizzato per ottenere remote code execution dopo il bypass dell’autenticazione. Questa discrepanza nelle descrizioni mostra che CVE-2026-62911 copre una superficie tecnica più articolata rispetto alla sintetica definizione Microsoft. Per gli amministratori il punto operativo resta invariato: una compromissione iniziale di basso livello può essere trasformata in accesso privilegiato al server e, in scenari concatenati, in controllo del sistema Exchange.

Leggi anche: Exchange Server è già stato colpito nel 2026 dalla zero-day CVE-2026-42897 sfruttata attraverso Outlook Web Access

Shadowserver rileva 21.899 server Exchange ancora vulnerabili

Il dato più preoccupante arriva da Shadowserver Foundation. Il dashboard pubblico relativo a CVE-2026-62911 mostra quasi 22.000 indirizzi IP riconducibili a installazioni Exchange che espongono ancora una versione vulnerabile. Il conteggio riportato il 1° settembre raggiunge 21.899 sistemi, con circa 6.200 server negli Stati Uniti e 5.100 in Germania, i due Paesi maggiormente rappresentati. Il numero non equivale necessariamente a 21.899 organizzazioni differenti, perché una singola infrastruttura può utilizzare più indirizzi IP o più nodi Exchange, ma fotografa comunque una superficie d’attacco significativa a tre settimane dalla pubblicazione della patch.

L’esposizione diretta di Exchange continua a essere particolarmente rischiosa perché il server gestisce contemporaneamente autenticazione, email, allegati, calendari e spesso integrazioni profonde con Active Directory. Una compromissione consente quindi di accedere a informazioni aziendali altamente sensibili e può fornire una base affidabile per phishing interno, furto di credenziali e movimento laterale. La stessa criticità era emersa a maggio, quando CISA aveva inserito CVE-2026-42897 nel catalogo delle vulnerabilità attivamente sfruttate.

Il rischio principale è il controllo delle mailbox aziendali

Microsoft indica che lo sfruttamento della vulnerabilità può permettere all’attaccante di assumere privilegi sufficienti a controllare le mailbox degli utenti Exchange, con capacità di leggere messaggi, scaricare allegati e inviare email. In un ambiente aziendale questo tipo di accesso offre possibilità offensive molto più ampie del semplice furto della posta. Un account compromesso può essere utilizzato per ricostruire gerarchie interne, rapporti con clienti e fornitori, cicli di pagamento e procedure di autorizzazione. Gli aggressori possono quindi preparare campagne Business Email Compromise, modificare conversazioni già esistenti o inviare messaggi da identità legittime, riducendo drasticamente l’efficacia dei normali controlli antiphishing. Le caselle di dirigenti, amministratori IT, finance e HR rappresentano obiettivi particolarmente appetibili. La compromissione dell’identità resta infatti uno dei vettori più efficaci contro l’infrastruttura Microsoft, come mostrato anche dalle campagne AiTM contro Microsoft 365 finalizzate a frodi payroll e persistenza sulle sessioni. CVE-2026-62911 riduce ulteriormente il costo d’ingresso perché consente di trasformare un livello minimo di accesso in privilegi sostanzialmente più elevati.

L’exploit è pubblico ma non risultano ancora attacchi confermati in wild

Il National Cyber Security Centre dei Paesi Bassi ha segnalato il 28 agosto che codice di exploit per CVE-2026-62911 è già comparso online e può essere utilizzato con una barriera tecnica relativamente bassa. L’allerta ufficiale NCSC-NL invita le organizzazioni a installare immediatamente gli aggiornamenti e considera il rischio abbastanza elevato da raccomandare, per Exchange 2016 e 2019, di limitare l’accessibilità del server alla sola rete interna quando la migrazione immediata non è possibile. Esiste però una differenza tra la formulazione dell’NCSC e quella Microsoft: l’autorità olandese descrive uno scenario che può arrivare all’esecuzione remota di codice senza credenziali, mentre Microsoft assegna al CVE privilegi iniziali bassi e user interaction required. La documentazione ZDI conferma che l’autenticazione può essere aggirata e che il difetto può essere concatenato per ottenere SYSTEM. Alla data del 1° settembre 2026 Microsoft non ha comunque marcato CVE-2026-62911 come sfruttata attivamente in attacchi reali e la vulnerabilità non risulta inserita nel catalogo CISA KEV. La disponibilità di exploit pubblici e la presenza di decine di migliaia di server esposti riducono però rapidamente il margine temporale per il patching.

Exchange 2016 e 2019 sono ormai dipendenti dal programma ESU

La situazione è aggravata dal ciclo di vita del prodotto. Exchange Server 2016 e Exchange Server 2019 hanno già raggiunto la fine del supporto ordinario, e gli aggiornamenti di agosto sono disponibili soltanto per le organizzazioni iscritte al Period 2 Extended Security Update Program. Microsoft specifica nelle note dell’aggiornamento di agosto che il programma ESU continuerà a fornire patch soltanto fino alla fine di ottobre 2026. Le organizzazioni che non partecipano al programma devono migrare a Exchange Server Subscription Edition per continuare a ricevere gli aggiornamenti di sicurezza. La finestra residua è quindi molto breve: mantenere un server 2016 o 2019 esposto a Internet senza ESU significa non avere più accesso alle correzioni più recenti, comprese quelle per vulnerabilità che possono emergere nei prossimi due mesi. Questo rende CVE-2026-62911 anche un problema di lifecycle management, non soltanto di patching. La permanenza di migliaia di sistemi vulnerabili suggerisce che una quota significativa delle organizzazioni non abbia ancora completato la transizione verso Exchange SE o una piattaforma cloud.

Continua con:

• Microsoft Exchange Server resta bersaglio di vulnerabilità attivamente sfruttate e infrastrutture legacy esposte
• Il Patch Tuesday di luglio aveva già corretto quattro nuove vulnerabilità di Exchange Server

Gli amministratori devono aggiornare e controllare l’esposizione Internet

La priorità operativa è applicare gli aggiornamenti Microsoft dell’11 agosto 2026 a tutte le installazioni Exchange interessate e verificare la build effettivamente in esecuzione attraverso gli strumenti di inventario e Exchange Server Health Checker. L’installazione della patch deve essere accompagnata dalla verifica dell’esposizione dei servizi verso Internet e dall’analisi di autenticazioni anomale, accessi insoliti alle mailbox, creazione di regole di inoltro, download massivi di allegati, processi sospetti generati dai servizi Exchange e modifiche non autorizzate alle configurazioni. Per Exchange 2016 e 2019 non coperti da ESU la misura più prudente è rimuovere l’esposizione pubblica e pianificare immediatamente la sostituzione, come raccomandato anche dall’NCSC olandese. Il dato dei 21.899 server vulnerabili dimostra che la patch esiste ma non è ancora arrivata ovunque. In un prodotto che continua da anni a rappresentare uno dei principali punti di ingresso nelle reti enterprise, la combinazione tra exploit pubblico, autenticazione aggirabile e accesso privilegiato alle mailbox rende CVE-2026-62911 una vulnerabilità da chiudere prima che l’attuale esposizione venga trasformata in una nuova campagna di sfruttamento su larga scala.