Sete falhas no Exchange Server: o e-mail corporativo de novo na mira

A Microsoft corrigiu esta semana um conjunto de sete vulnerabilidades no Exchange Server — o software que entrega o e-mail corporativo de boa parte das empresas brasileiras. Duas delas são graves o suficiente para tirar o sono de quem administra esses servidores, e uma já foi demonstrada funcionando ao vivo num dos maiores concursos de hacking do mundo.

Por que e-mail corporativo é alvo nobre

O Exchange é o servidor de e-mail e agenda que muita empresa roda dentro de casa (on-premises). Ele é um alvo cobiçado por um motivo simples: dominar o servidor de e-mail é dominar a empresa. De lá o atacante lê conversas confidenciais, se passa por executivos, redefine senhas de outros sistemas (que chegam justamente por e-mail) e se espalha pela rede. Não por acaso, os grandes incidentes com Exchange dos últimos anos viraram manchete mundial.

As duas falhas que importam

• CVE-2026-62913 (gravidade 8.8/10): um “estouro de buffer” que pode ser explorado remotamente, por um invasor com poucos privilégios e sem nenhuma interação da vítima — o tipo mais perigoso, porque não depende de alguém clicar em nada. Leva a execução remota de código: o atacante roda comandos no servidor.
• CVE-2026-62911 (gravidade 8.0/10): permite contornar a autenticação capturando e “repetindo” informações de acesso. Essa foi demonstrada ao vivo no Pwn2Own Berlin, a competição onde pesquisadores ganham prêmios provando que conseguem invadir sistemas reais. Ou seja: não é teoria, alguém já mostrou que funciona.

Somadas às outras cinco, o potencial de estrago é o pacote completo: roubo de caixas de e-mail, persistência (o invasor se instala e volta quando quer), movimento lateral pela rede e, no fim da linha, ransomware.

Quem está exposto

• Exchange Server Subscription Edition
• Exchange Server 2016 e 2019 (já em suporte estendido)

A Microsoft já disponibilizou as correções. E o fato de o 2016 e o 2019 estarem em suporte estendido é um recado: quem roda versão antiga tem janela de conserto cada vez menor e deveria estar planejando a migração.

O que fazer

• Aplique o pacote de correção da Microsoft com urgência, especialmente se o Exchange estiver acessível pela internet (Outlook Web Access, por exemplo).
• Se possível, não exponha o Exchange diretamente à internet — coloque atrás de VPN ou de um gateway com autenticação forte.
• Considere migrar de servidor de e-mail próprio para uma solução gerenciada (como o Microsoft 365), onde as correções são aplicadas pelo fornecedor. Rodar Exchange on-premises exige uma disciplina de atualização que muita empresa média não tem.
• Monitore o servidor de e-mail como ativo crítico: acessos administrativos, regras de encaminhamento criadas do nada e logins fora do horário são sinais clássicos de comprometimento.

Vale a regra de sempre: a correção existe, o risco agora é a demora em aplicá-la. Entre o boletim e o ataque em massa costuma haver poucos dias.

Fontes

• Microsoft Security Response Center (MSRC) — atualizações do Exchange: msrc.microsoft.com
• NVD — CVE-2026-62913 e CVE-2026-62911: nvd.nist.gov
• Zero Day Initiative (Pwn2Own) — demonstração da falha de autenticação: zerodayinitiative.com