Se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad CVE-2026-62911 en Microsoft Exchange Server. Aunque Microsoft la clasifica como un fallo de elevación de privilegios relacionado con la captura y reproducción de autenticación, las investigaciones indican que podría permitir la ejecución remota de código (RCE) sin autenticación y el compromiso total del sistema a nivel SYSTEM.

Se ha publicado un exploit de prueba de concepto (PoC) público para el CVE-2026-62911, una vulnerabilidad de Microsoft Exchange Server vinculada a una debilidad de captura y reproducción de autenticación.

Aunque Microsoft clasifica el problema como un fallo de elevación de privilegios, la investigación publicada describe una cadena de ataque que puede conducir a la ejecución remota de código no autenticada y a un compromiso a nivel de SYSTEM en entornos de Exchange vulnerables.

El PoC, publicado en GitHub por el investigador Nguyen Van Hiep, se dirige al servicio Exchange Mailbox Replication Proxy, comúnmente conocido como MRSProxy.

• https://github.com/hypnguyen1209/CVE-2026-62911 

La documentación del exploit afirma que un endpoint de MRSProxy alojado en HTTP.sys accesible no aplica la Protección Extendida para la Autenticación, lo que permite a un atacante retransmitir la autenticación NTLM desde una cuenta de máquina de Exchange hacia el servicio.

Microsoft reveló el CVE-2026-62911 en agosto de 2026 como un problema de captura y reproducción de omisión de autenticación que afecta a Microsoft Exchange Server local (on-premises).

PoC público para RCE pre-autenticación de Exchange Server

La descripción pública de Microsoft establece que un atacante autorizado podría elevar privilegios a través de una red. En contraste, el PoC disponible aumenta el riesgo práctico al demostrar una ruta de retransmisión NTLM que puede eliminar la necesidad de credenciales previas de Exchange en ciertas configuraciones.

Según el análisis técnico, Exchange expone MRSProxy a través de endpoints separados. La Protección Extendida protege la ruta /EWS/MRSProxy.svc alojada en IIS.

Sin embargo, el endpoint ProxyService del MailboxReplicationService alojado en HTTPsys puede no validar las vinculaciones de canal. Esto crea una oportunidad de retransmisión donde un intento de autenticación de cuenta de máquina capturado puede ser reenviado al servicio de Exchange vulnerable.

La cadena de ataque comienza obligando a un servidor Exchange a autenticarse ante un receptor controlado por el atacante mediante una técnica como PetitPotam. El atacante puede entonces retransmitir la autenticación NTLM a un segundo servidor Exchange vulnerable.

Si la retransmisión tiene éxito, la cuenta de máquina es tratada como autenticada por MRSProxy, recibiendo acceso a la funcionalidad de replicación de buzones de Exchange.

Se informa que el PoC abusa de los métodos WCF dentro del servicio de replicación, incluyendo IMailbox_Config6 e IMailbox_Connect. El primer método acepta una ruta de archivo, mientras que el segundo puede hacer que Exchange escriba contenido en esa ubicación.

Un atacante podría intentar colocar un webshell ASPX en un directorio virtual de IIS o Exchange accesible vía web, para luego acceder al archivo remotamente y ejecutar comandos bajo el contexto del servicio de Exchange. Los informes públicos y el análisis técnico describen un resultado potencial a nivel de SYSTEM.

La vulnerabilidad está asociada con una cadena de tres fallos demostrada por Orange Tsai de DEVCORE en Pwn2Own Berlín 2026. El compromiso de Exchange obtuvo una recompensa de 200.000 dólares durante la competición, subrayando el impacto de seguridad de las debilidades encadenadas de autenticación y nivel de servicio.

Los productos afectados incluyen Exchange Server 2016 CU23, Exchange Server 2019 CU14 y CU15, y Exchange Server Subscription Edition RTM. Deberías desplegar las actualizaciones de seguridad de Exchange de agosto de 2026 de Microsoft inmediatamente.

Las versiones corregidas incluyen Exchange 2016 CU23 (versión 15.1.2507.72), Exchange 2019 CU14 (versión 15.2.1544.44), Exchange 2019 CU15 (versión 15.2.1748.49) y Exchange Server Subscription Edition (versión 15.2.2562.46).

Exchange 2016 llegó al fin de su soporte en octubre de 2025, lo que significa que si tu organización no tiene Actualizaciones de Seguridad Extendidas, es posible que no tengas una ruta de remediación soportada.

Como administrador, también deberías verificar la configuración de la Protección Extendida, reducir la exposición innecesaria de los servicios de Exchange, monitorizar actividades inusuales de retransmisión NTLM e investigar archivos ASPX inesperados en los directorios de Exchange e IIS.