Microsoft alerta: 22 mil servidores Exchange seguem expostos

Microsoft publicou a correção em agosto de 2026, mas cerca de 22 mil servidores Exchange continuam expostos na internet. A falha responde pelo código CVE 2026 62911. Ela permite que um invasor autenticado eleve privilégios pela rede. Em seguida, esse invasor assume as caixas de correio de toda a organização.

A própria companhia detalhou o impacto em comunicado oficial. Segundo o texto, o atacante lê mensagens, envia mensagens e baixa anexos de qualquer usuário. Portanto, o estrago vai muito além de uma conta isolada.

Microsoft confirma o alcance real da CVE 2026 62911

O pesquisador Orange Tsai, da equipe DEVCORE, encontrou a brecha. Ela atinge instalações locais do Exchange Server 2016, do Exchange Server 2019 e do Exchange Server Subscription Edition. Ou seja, quem já migrou para o Exchange Online fica fora do alvo direto.

Ainda assim, ambientes híbridos merecem atenção redobrada. Muita empresa mantém um servidor local apenas para gerenciar atributos de destinatários. Esse servidor esquecido costuma virar o elo fraco da operação.

O exploit já circula e o seu cronograma mudou

O Centro Nacional de Cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → da Holanda foi o primeiro a avisar sobre código de exploração disponível abertamente. A orientação do órgão foi curta e direta: instale as atualizações o quanto antes.

Quando um exploit vira público, a janela de resposta encolhe. Assim, o patch deixa de ser tarefa de sprint e vira tarefa do dia. Vale tratar o caso como incidente, com responsável nomeado e prazo curto.

Microsoft restringe atualizações para o Exchange 2016 e 2019

Aqui mora a parte incômoda da história. O Exchange Server 2016 e o Exchange Server 2019 só recebem correções por contratos estendidos de suporte. Logo, boa parte das empresas afetadas sequer tem direito ao pacote.

O órgão holandês sugeriu duas medidas para esse cenário. Primeiro, deixe o servidor acessível apenas pela rede interna. Depois, planeje a substituição do sistema.

Os números do Shadowserver desenham o mapa do risco

O grupo Shadowserver contabilizou pelo menos 21.899 endereços de IP vinculados ao Exchange ainda desprotegidos e visíveis publicamente. Os Estados Unidos concentram cerca de 6,2 mil máquinas. A Alemanha aparece logo atrás, com 5,1 mil.

O CERT Bund, ligado ao órgão federal de segurança alemão, foi além. A entidade estimou que aproximadamente 85% dos servidores Exchange locais do país seguem sem proteção. Além disso, apontou que a maioria dos clientes com versões antigas nem contratou o suporte estendido.

Microsoft encerra o suporte estendido em outubro de 2026

A companhia já avisou os clientes sobre o prazo final. As atualizações estendidas das edições 2016 e 2019 terminam em outubro de 2026. Ou seja, a migração deixou de caber no planejamento de longo prazo.

Quem depende de Exchange local tem poucas saídas. Uma delas é migrar para a Subscription Edition. Outra é mover as caixas para a nuvem e manter um servidor mínimo apenas para gestão. Em ambos os casos, o orçamento precisa entrar na conta agora.

Checklist rápido para quem toca a infraestrutura

Comece pelo inventário. Liste todo servidor Exchange local, inclusive aquele que ninguém lembra de ter instalado. Depois, valide a build de cada máquina contra a versão corrigida.

Em seguida, revise a exposição externa. Nenhum painel administrativo precisa responder na internet aberta. Enquanto isso, ative o registro detalhado de autenticação e guarde os logs por tempo suficiente para uma investigação.

Por fim, teste a hipótese de comprometimento. Procure regras de encaminhamento criadas fora do padrão, permissões de caixa concedidas há pouco tempo e sessões estranhas. Caso encontre algo, acione a resposta a incidentes por completo.

O Exchange já tem histórico e a estatística explica a pressa

Desde o fim de 2021, a agência de cibersegurança dos Estados Unidos catalogou 20 vulnerabilidades ativamente exploradas em servidores Exchange. Além disso, 14 delas apareceram em ataques de ransomware.

Servidor de correio local carrega valor alto para o atacante. Ele guarda contratos, credenciais em anexo e o histórico de negociação da empresa inteira. Por isso, ele merece o mesmo rigor de um sistema de pagamento.

Microsoft entregou o patch e o resto depende do seu time

A correção existe desde agosto e está disponível. O restante depende do inventário, da janela de manutenção e da decisão de investimento. Enquanto 22 mil servidores seguirem abertos, o custo dessa espera vai continuar subindo.

Acompanhe nosso perfil no Instagram!