Téměř 22 000 serverů Exchange stále nemá záplatu na vážnou chybu CVE-2026-62911
Microsoft opravil zranitelnost v Exchange Serveru už v srpnu, tisíce serverů ale zůstávají bez aktualizace. Na internetu se podle nizozemského NCSC šíří funkční exploit.
Pravidelné skenování organizace Shadowserver Foundation ukazuje, že téměř 22 000 serverů Microsoft Exchange stále nemá opravu závažné zranitelnosti CVE-2026-62911. Microsoft přitom vydal záplatu už 11. srpna 2026.
O jakou chybu jde
Microsoft chybu popisuje jako obejití ověření pomocí zachycení a opětovného přehrání komunikace (capture-replay). Útočník, který už má v systému nějaký přístup, díky ní může po síti získat vyšší oprávnění. Nizozemské národní centrum kybernetické bezpečnosti NCSC-NL ohodnotilo zranitelnost skóre CVSS 8,0. Chybu objevil Orange Tsai z výzkumného týmu DEVCORE ve spolupráci s iniciativou Zero Day Initiative společnosti Trend Micro.
Kde je problém největší
- nejvíc neopravených serverů mají Spojené státy (6 200)
- druhé je Německo (5 100)
- německý úřad BSI 28. srpna uvedl, že zranitelných je v zemi zhruba 85 % lokálně provozovaných serverů Exchange
Microsoft ve svém bulletinu zneužívání chyby nepotvrdil. NCSC-NL ale už o týden dříve upozornilo, že na internetu koluje funkční exploit.
Co dělat
NCSC-NL doporučuje nainstalovat aktualizace co nejdříve. Exchange Server 2016 a 2019 už nejsou podporované a bezpečnostní opravy vydané mezi květnem a říjnem 2026 dostanou jen organizace zapojené do druhého období programu rozšířených aktualizací (ESU). Kdo tyto verze provozuje, má podle NCSC-NL omezit server pouze na vnitřní síť a pokud možno ho nahradit. Firmy, které nevědí, jakou verzi Exchange používají, by se měly obrátit na svého správce IT.
Jde o další z řady problémů s Exchangem. Už v červnu 2026 musel Microsoft opravovat aktivně zneužívanou zranitelnost CVE-2026-42897.
Zdroj: Help Net Security
Komentáře
Načítám komentáře…