Descoberta e Escopo da Vulnerabilidade
Uma análise recente conduzida pela Shadowserver Foundation revelou que aproximadamente 21.899 servidores Microsoft Exchange em todo o mundo permanecem vulneráveis à CVE-2026-62911, uma falha crítica de bypass de autenticação que permite a execução remota de código. A descoberta ocorre em um momento de alta tensão para a segurança corporativa, onde a janela de oportunidade para correção está se fechando rapidamente após a divulgação da falha em 11 de agosto de 2026.
A vulnerabilidade, classificada com uma pontuação CVSS de 8.0, afeta principalmente as versões on-premises do Microsoft Exchange Server, incluindo o Exchange Server 2016 Cumulative Update 23, o Exchange Server 2019 CU14 e CU15, e a versão RTM do Exchange Server Subscription Edition. A falha reside na maneira como o serviço MRSProxy (Mailbox Replication Service Proxy) gerencia a autenticação, falhando em impor a Proteção Estendida para Autenticação em endpoints alcançáveis via internet.
Mecanismo de Exploração e Risco Técnico
A exploração da CVE-2026-62911 não se limita a uma simples elevação de privilégios, como inicialmente descrito pela Microsoft. Pesquisadores de segurança demonstraram que a falha pode ser encadeada para permitir a retransmissão de credenciais NTLM. Isso significa que um atacante pode capturar a autenticação de uma conta de máquina do Exchange e retransmiti-la para o serviço vulnerável, efetivamente contornando a necessidade de credenciais de usuário válidas em certas configurações.
O vetor de ataque envolve a coerção de um servidor Exchange para autenticar em um ouvinte controlado pelo atacante, utilizando técnicas como PetitPotam. Uma vez que a autenticação é capturada, ela é retransmitida para um segundo servidor Exchange vulnerável. Se bem-sucedida, a conta de máquina é tratada como autenticada pelo MRSProxy, concedendo acesso à funcionalidade de replicação de caixas de correio do Exchange.
Um proof-of-concept (PoC) público foi liberado no GitHub pelo pesquisador Nguyen Van Hiep, demonstrando como explorar os métodos WCF dentro do serviço de replicação, como IMailbox_Config6 e IMailbox_Connect. Isso permite que um atacante coloque um webshell ASPX em um diretório virtual acessível via web e execute comandos sob o contexto do serviço Exchange, potencialmente alcançando privilégios de SYSTEM.
Impacto Global e Dados da Shadowserver
Os dados de varredura diária da Shadowserver Foundation mostram que os Estados Unidos lideram a exposição com cerca de 6.200 instâncias vulneráveis, seguidos pela Alemanha com aproximadamente 5.100. O Reino Unido, Rússia, Canadá, Áustria e França reportam centenas adicionais de servidores expostos, com clusters menores visíveis em Itália, Países Baixos, China e dezenas de outros países.
Para o Brasil, a exposição é uma preocupação significativa, dado o uso massivo de infraestrutura de e-mail corporativa baseada em Microsoft Exchange. A falta de atualização imediata coloca em risco a confidencialidade de comunicações corporativas e a integridade dos dados armazenados nas caixas de correio.
Medidas de Mitigação e Remediação
As organizações devem aplicar imediatamente as atualizações de segurança de agosto de 2026 da Microsoft. As versões corrigidas incluem:
- Exchange Server 2016 CU23: Build 15.1.2507.72
- Exchange Server 2019 CU14: Build 15.2.1544.44
- Exchange Server 2019 CU15: Build 15.2.1748.49
- Exchange Server Subscription Edition: Build 15.2.2562.46
Além da aplicação de patches, os administradores devem verificar as configurações de Proteção Estendida, reduzir a exposição desnecessária dos serviços do Exchange à internet e monitorar atividades anômalas de retransmissão NTLM. A investigação de arquivos ASPX inesperados em diretórios do Exchange e IIS também é recomendada.
Implicações Regulatórias e LGPD
No contexto brasileiro, a exploração desta vulnerabilidade pode resultar em violações de dados pessoais, acionando obrigações de notificação à Autoridade Nacional de Proteção de Dados (ANPD) sob a Lei Geral de Proteção de Dados (LGPD). A falha em corrigir vulnerabilidades conhecidas pode ser interpretada como negligência na segurança da informação, potencialmente resultando em multas e sanções administrativas.
O que os CISOs devem fazer imediatamente
1. Inventariar todos os servidores Exchange on-premises e verificar as versões de build.
2. Priorizar a aplicação dos patches de agosto de 2026 em todos os sistemas afetados.
3. Implementar regras de firewall para restringir o acesso ao MRSProxy apenas a IPs de confiança.
4. Monitorar logs de autenticação e tráfego de rede para detectar tentativas de retransmissão NTLM.
5. Considerar a desativação temporária do serviço MRSProxy se a atualização não for possível imediatamente.