Casi 22,000 servidores de Microsoft Exchange siguen expuestos a una vulnerabilidad grave (CVE-2026-62911) que permite a los atacantes tomar el control total de los buzones de correo de los usuarios. Aunque Microsoft ya lanzó el parche en agosto de 2026, miles de servidores, especialmente en EE. UU. y Alemania, aún no han sido actualizados. Expertos advierten que ya existe código para explotar este fallo, instando a las empresas a aplicar las actualizaciones urgentemente.

Casi 22,000 servidores de Microsoft Exchange expuestos en línea permanecen sin parchear contra una vulnerabilidad de omisión de autenticación de alta gravedad que permite a los atacantes secuestrar todos los buzones de correo de los usuarios.

Rastreada como CVE-2026-62911 e informada por Orange Tsai del equipo de investigación de DEVCORE, este fallo de seguridad afecta al software Exchange Server 2016, Exchange Server 2019 y Exchange Server Subscription Edition (SE). Los actores de amenazas con privilegios básicos en el servidor objetivo pueden explotarlo en ataques de baja complejidad que requieren interacción del usuario.

"La omisión de autenticación mediante captura y reproducción en Microsoft Exchange Server permite que un atacante autorizado eleve privilegios a través de una red", afirmó Microsoft cuando parcheó la vulnerabilidad durante el Patch Tuesday de agosto de 2026. "El atacante podría tomar el control de los buzones de todos los usuarios de Exchange, enviar correos electrónicos, leer correos y descargar archivos adjuntos".

Aunque Microsoft aún no ha actualizado el aviso de CVE-2026-62911 para confirmarlo, el Centro Nacional de Seguridad Cibernética de los Países Bajos (NCSC-NL) informó la semana pasada que el código de explotación para esta vulnerabilidad ya está disponible en línea.

"Microsoft ha puesto a disposición actualizaciones para solucionar las vulnerabilidades. Instale estas actualizaciones lo antes posible", señaló el NCSC-NL. "Exchange Server 2016 y 2019 solo reciben actualizaciones de seguridad a través del Programa de Actualizaciones de Seguridad Extendidas (ESU). ¿Está utilizando una de estas versiones? Si es así, asegúrese de que el servidor sea accesible solo internamente y reemplácelo si es posible".

El martes, el grupo de vigilancia de seguridad de amenazas Shadowserver dijo que encontró 21,899 direcciones IP con una huella de Microsoft Exchange Server que aún no están parcheadas y están expuestas en línea, la mayoría de ellas en Estados Unidos (6,200) y Alemania (5,100).

Servidores exchange sin parchear expuestos en línea (shadowserver)

La Oficina Federal de Seguridad de la Información de Alemania (BSI) también advirtió el viernes (detectado primero por Heise) que alrededor del 85% de todos los servidores Exchange locales en Alemania siguen siendo vulnerables a este fallo.

Aunque CVE-2026-62911 aún no ha sido marcado como abusado en entornos reales, Microsoft parcheó otra vulnerabilidad de Exchange Server (CVE-2026-42897) en junio que fue explotada en ataques de cross-site scripting (XSS) dirigidos a usuarios de Outlook Web Access.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) también añadió el fallo CVE-2026-42897 a su Catálogo de Vulnerabilidades Conocidas y Explotadas el 15 de mayo y ordenó a las agencias gubernamentales de EE. UU. parchear sus servidores en dos semanas.

Desde noviembre de 2021, CISA ha añadido 20 vulnerabilidades de Microsoft Exchange Server a su lista de problemas de seguridad explotados activamente, 14 de ellas también marcadas como abusadas en ataques de ransomware.

En octubre, después de que Microsoft anunciara que Exchange 2016 y 2019 habían llegado al final de su soporte, CISA y la Agencia de Seguridad Nacional (NSA) publicaron una guía conjunta sobre el endurecimiento de los servidores Exchange contra los ataques.

Hace dos meses, Microsoft también recordó a los clientes que las actualizaciones de seguridad de Exchange 2016 y Exchange 2019 dejarán de distribuirse a través del programa de Actualizaciones de Seguridad Extendidas (ESU) en octubre de 2026.



Fuente:
BleepingComputer