VKSECURITY Falha crítica no Exchange deixa 22 mil servidores de e-mail à mercê de invasores
Uma falha grave no Microsoft Exchange permite que um invasor assuma as caixas de e-mail de toda a empresa. A correção existe desde agosto, mas quase 22 mil servidores no mundo continuam abertos — e já há código de ataque público circulando. Quem ainda roda Exchange no próprio servidor precisa agir hoje.
Se a sua empresa ainda mantém o Microsoft Exchange rodando em servidor próprio — o famoso “Exchange on-premises”, que hospeda o e-mail dentro de casa em vez de na nuvem —, esta notícia é para agir hoje, não amanhã.
O que é a falha
A vulnerabilidade, batizada de CVE-2026-62911, é do tipo mais perigoso que existe: permite execução remota de código sem precisar de senha (o jargão é pre-auth RCE). Na prática, um invasor que alcance o servidor pela internet pode elevar privilégios e assumir o controle das caixas de e-mail de todos os usuários — ler mensagens, enviar e-mails em nome de qualquer pessoa e baixar anexos.
O problema mora num componente do Exchange usado para migrar caixas de correio (o MRSProxy), que aceita um tipo de autenticação sem aplicar uma proteção essencial contra ataques de retransmissão de credencial (NTLM relay). Quem descobriu foi o pesquisador Orange Tsai, da equipe DEVCORE, que demonstrou a falha como parte de uma cadeia de três bugs na competição Pwn2Own Berlin 2026.
Por que a urgência aumentou
Dois fatos transformaram uma falha grave em emergência:
- Já existe código de ataque público. Uma prova de conceito circula abertamente, o que significa que criminosos com pouca habilidade já conseguem tentar a invasão. O tempo entre “falha conhecida” e “falha explorada em massa” encurtou para dias.
- Muita gente ainda não corrigiu. Segundo a organização de monitoramento Shadowserver, em 31 de agosto de 2026 ainda havia 21.899 servidores Exchange expostos e sem correção na internet — com grande concentração nos Estados Unidos (cerca de 6.200) e na Alemanha (cerca de 5.100). O Brasil também aparece na lista.
O que fazer
A Microsoft já publicou a atualização de segurança em agosto. As ações, em ordem de prioridade:
- Aplique o patch mais recente do Exchange (as atualizações KB5121573 a KB5121576, conforme a versão instalada). É a correção definitiva.
- Ative a Proteção Estendida para Autenticação (EPA) no Exchange, se ainda não estiver ligada — é ela que barra o tipo de ataque explorado.
- Verifique se o servidor precisa mesmo ficar exposto à internet. Um Exchange acessível de qualquer lugar é um alvo; restringir o acesso reduz a superfície.
- Procure sinais de invasão — webshells (arquivos .aspx estranhos), contas novas, acessos incomuns —, porque quem demorou a corrigir pode já ter sido visitado.
O e-mail corporativo continua sendo o cofre onde ficam contratos, senhas de recuperação e conversas sensíveis de toda a empresa. Uma falha que abre esse cofre para qualquer um, com a correção já disponível na prateleira, não deveria sobreviver ao fim do dia.
Fontes
- Microsoft Security Response Center — atualização de segurança para CVE-2026-62911: msrc.microsoft.com
- Shadowserver Foundation — painel de monitoramento de servidores Exchange vulneráveis: shadowserver.org
- DEVCORE (Orange Tsai) — pesquisa apresentada no Pwn2Own Berlin 2026: devcore.tw
- Foto de capa: Building 92 do campus da Microsoft em Redmond, com o logotipo da empresa — Coolcaesar, CC BY-SA 4.0, via Wikimedia Commons
- Segunda imagem: logotipo do Microsoft Exchange — Microsoft, domínio público, via Wikimedia Commons
