Quase 22 mil servidores Exchange expostos: o seu já foi atualizado?

Quase 22 mil servidores Microsoft Exchange acessíveis a partir da Internet continuam sem a correção de uma falha grave que permite contornar a autenticação e, em cenários de cadeia de exploração, comprometer caixas de correio e o próprio servidor. A vulnerabilidade, identificada como CVE-2026-62911, foi corrigida pela Microsoft a 11 de agosto de 2026, mas o aparecimento de código de exploração público no final do mês alterou por completo o cálculo de risco para quem mantém Exchange on-premises — incluindo muitas PME e organismos públicos em Portugal que ainda dependem destes sistemas para o correio eletrónico.

O que é a CVE-2026-62911 e porque é tão sensível

Segundo o aviso do Microsoft Security Response Center, trata-se de uma vulnerabilidade de elevação de privilégios no Exchange Server: um contorno de autenticação por captura e repetição permite a um atacante autorizado elevar privilégios através da rede. O aviso foi publicado a 11 de agosto de 2026, classifica a falha em CWE-294, atribui severidade máxima «crítica» e apresenta métricas CVSS 3.1 de 8.0 (base) e 7.0 (temporal), com vetor AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C.

A origem do problema está no circuito de investigação de vulnerabilidades: a falha foi descoberta por Orange Tsai, da equipa de investigação DEVCORE, e demonstrada no Pwn2Own Berlin 2026 integrada numa cadeia de três vulnerabilidades que permitia execução remota de código com privilégios SYSTEM no Exchange, valendo um prémio de 200 mil dólares; foi depois comunicada à Microsoft através da Zero Day Initiative, dando origem às atualizações de agosto. Tanto o aviso oficial como a Zero Day Initiative — que segue o caso como ZDI-26-538 — descrevem a falha como elevação de privilégios com contorno de autenticação, e não como execução remota de código não autenticada isolada, notando que o mecanismo de autenticação existente pode ser ultrapassado e que, combinada com outras falhas, pode levar a execução de código como SYSTEM.

Na prática, o componente crítico é o serviço de replicação de caixas de correio. A documentação do exploit público descreve a exploração da ausência de Extended Protection (EPA) no endpoint WCF do MRSProxy alojado em HTTP.sys, para retransmitir o hash NTLM da conta de máquina do Exchange e escrever uma webshell através de injeção de caminho de ficheiro em PstDestinationMailbox.ConfigPst(). A cadeia começa com coerção PetitPotam (MS-EFSR, sem autenticação) para forçar um servidor Exchange a autenticar-se contra um listener do atacante, seguindo-se a retransmissão NTLM para o MRSProxy de um segundo servidor, contorno da autenticação por via do privilégio das contas de máquina, escrita de um ficheiro .aspx e acesso à webshell com privilégios SYSTEM. O cenário descrito exige dois servidores Exchange, porque a retransmissão não pode ter como alvo o servidor que originou a autenticação.

O exploit público mudou o risco real

O ponto de viragem foi a publicação de código funcional. O CERT.at noticiou a divulgação de código de exploração no GitHub para esta falha do Microsoft Exchange, recordando que a Microsoft já disponibilizou correções no ciclo regular de atualizações. O Centro Nacional de Cibersegurança dos Países Baixos (NCSC-NL) reportou igualmente a existência de código de exploração disponível online, recomendando a instalação imediata das atualizações e alertando que o Exchange Server 2016 e 2019 só recebem atualizações de segurança através do programa Extended Security Updates (ESU), pelo que quem usa estas versões deve garantir que o servidor apenas está acessível internamente e substituí-lo se possível.

Este desfasamento entre a avaliação inicial e a realidade operacional é relevante: a Microsoft classificou a falha como crítica, mas colocou o estado de exploração em «Exploitation Less Likely», avaliação que ficou desatualizada com a publicação da prova de conceito. A Shadowserver refere expressamente a marcação da CVE-2026-62911 nos seus relatórios a partir de 27 de agosto de 2026, remetendo para o aviso do MSRC, além do rastreio contínuo de versões do Exchange em fim de vida.

Quantos servidores continuam vulneráveis

A Shadowserver identificou 21 899 endereços IP com impressão digital de Microsoft Exchange Server ainda sem correção e expostos online, a maioria nos Estados Unidos (cerca de 6 200) e na Alemanha (cerca de 5 100). Os dados dos varrimentos diários da fundação referem-se a 31 de agosto de 2026, e a lista de países mais expostos prossegue com Reino Unido, Rússia, Canadá, Áustria e França. Como a própria organização sublinha noutros relatórios do género, estes números devem ser lidos como indicativos e não como contagem exata.

O retrato alemão dá a medida da lentidão do patching: o BSI publicou a 29 de agosto de 2026 um aviso de cibersegurança indicando que cerca de 85% dos servidores Exchange on-premises operados na Alemanha estão vulneráveis à CVE-2026-62911, mantendo-se o nível de ameaça em patamar crítico devido a processos de atualização morosos nas organizações.

Versões afetadas e builds corrigidas

O registo CVE confirma o âmbito: são afetados o Exchange Server 2016 CU23 (abaixo da build 15.01.2507.072), o Exchange Server 2019 CU14 (abaixo de 15.02.1544.044) e CU15 (abaixo de 15.02.1748.049) e o Exchange Server Subscription Edition RTM (abaixo de 15.02.2562.046). O artigo de suporte da atualização de 11 de agosto de 2026 para o Exchange Server SE RTM (KB5121573) lista a CVE-2026-62911 entre as falhas corrigidas e recomenda executar o Exchange Server Health Checker para validar a instalação e verificar se são necessárias ações adicionais. O Exchange Online não é visado por esta falha, que diz respeito a instalações locais.

Cronologia do caso

Mitigação: o que fazer nas próximas horas

• Instalar as atualizações de segurança de agosto de 2026 e confirmar a build com Get-Command Exsetup.exe | ForEach-Object {$_.FileVersionInfo}, comparando com a tabela acima.
• Executar o Exchange Server Health Checker após a atualização, conforme indicado pela Microsoft no artigo da própria atualização.
• Garantir a Extended Protection for Authentication ativa, dado que a ausência de EPA no endpoint MRSProxy é o elemento central do exploit público.
• Reduzir a exposição: limitar o acesso à Internet a endpoints não necessários (incluindo serviços de replicação) e reforçar defesas contra retransmissão NTLM e coerção de autenticação.
• Quem usa Exchange 2016/2019 sem cobertura ESU não recebe correção: nesse caso, isolar o servidor da Internet e acelerar a migração para Exchange Server SE ou Exchange Online.

Ao nível de deteção, e partindo do comportamento descrito na prova de conceito, faz sentido procurar ficheiros .aspx novos ou alterados nas diretorias servidas pelo IIS, autenticações NTLM anómalas provenientes de contas de máquina do Exchange, tráfego SMB associado a MS-EFSR (PetitPotam) e atividade inesperada no MailboxReplicationProxyService. Estes indicadores derivam da técnica publicada e não de exploração confirmada em ataques reais — à data da publicação não havia confirmação de exploração ativa.

Porque é que isto importa em Portugal

O Exchange é um alvo recorrente com histórico pesado: em 2021, o CERT.PT alertou para as falhas ProxyLogon no Exchange on-premises e para o seu aproveitamento na instalação de ransomware (DEARCRY). Este ano, o produto voltou a estar sob pressão: a Microsoft corrigiu a CVE-2026-42897, explorada em ataques de cross-site scripting contra utilizadores do Outlook Web Access, tendo a CISA adicionado essa falha ao catálogo Known Exploited Vulnerabilities a 15 de maio e ordenado a correção nas agências federais norte-americanas em duas semanas.

Para as organizações nacionais, um servidor de correio comprometido é simultaneamente um problema de segurança e de conformidade. O acesso a caixas de correio implica quase sempre dados pessoais, o que pode desencadear a obrigação de notificação de violação de dados à CNPD no prazo de 72 horas ao abrigo do RGPD. Ao mesmo tempo, as entidades abrangidas pelo Regime Jurídico da Ciberespaço Segurança aprovado pelo Decreto-Lei n.º 125/2025, que transpõe a NIS2 estão sujeitas a deveres de gestão de risco, gestão de vulnerabilidades e notificação de incidentes ao CNCS. Manter um servidor de correio exposto à Internet, sem suporte e sem atualizações torna-se difícil de justificar perante estes requisitos — e o CNCS/CERT.PT continua a ser o canal de referência em Portugal para alertas e apoio na resposta a incidentes.

Perguntas frequentes

A minha organização usa Microsoft 365. Está afetada?

A falha diz respeito ao Exchange Server instalado localmente. Se o correio está integralmente no Exchange Online, não há ação a tomar quanto a esta CVE; se existir um servidor Exchange local, mesmo que apenas para gestão de atributos ou em configuração híbrida, esse servidor deve ser atualizado.

Já existem ataques confirmados a explorar a CVE-2026-62911?

Não há confirmação pública de exploração ativa em ataques reais. Existe, porém, código de exploração disponível online, sinalizado por CSIRT nacionais como o CERT.at e o NCSC-NL, o que historicamente antecede varrimentos em massa.

Como sei se o meu servidor já está corrigido?

Compare a build instalada com as builds corrigidas de agosto de 2026: 15.1.2507.72 (2016 CU23), 15.2.1544.44 (2019 CU14), 15.2.1748.49 (2019 CU15) e 15.2.2562.46 (Subscription Edition RTM). A Microsoft recomenda ainda executar o Exchange Server Health Checker após a atualização.

Uso Exchange 2016 ou 2019 sem ESU. O que devo fazer?

Sem subscrição de Extended Security Updates não recebe a correção. A recomendação, alinhada com o NCSC-NL, é restringir o acesso ao servidor apenas à rede interna e planear a substituição por Exchange Server Subscription Edition ou Exchange Online com a maior brevidade.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft (MSRC e artigos de suporte), pela Shadowserver Foundation, pela Zero Day Initiative, pelo NCSC-NL, pelo CERT.at e pelo BSI.