Falha na Microsoft expõe 22 mil servidores de e-mail a invasões

Cerca de 22 mil servidores do Microsoft Exchange conectados à internet continuam sem atualização contra uma falha crítica de segurança. A vulnerabilidade permite que invasores assumam o controle total das caixas de correio de qualquer usuário dentro de uma organização corporativa.

A Microsoft publicou a correção para o problema em agosto de 2026 e, por meio de um comunicado oficial, orientou a instalação imediata do pacote. “A vulnerabilidade permite que um invasor com autorização eleve privilégios pela rede e assuma o controle das caixas de correio de todos os usuários, com capacidade de enviar e ler e-mails, além de baixar arquivos anexos”, pontuou a companhia.

Identificada pelo código CVE-2026-62911, a falha foi descoberta pelo pesquisador Orange Tsai, da equipe de pesquisas DEVCORE. A brecha atinge instalações locais dos softwares Exchange Server 2016, Exchange Server 2019 e Exchange Server Subscription Edition (SE).

Posicionamentos dos órgãos de segurança digital

O alerta ganhou contornos mais urgentes após órgãos de cibersegurança confirmarem que ferramentas práticas para explorar a brecha já circulam abertamente na internet.

O Centro Nacional de Cibersegurança da Holanda (NCSC-NL) foi o primeiro a alertar sobre a disponibilidade desse código invasor. “A Microsoft disponibilizou atualizações para corrigir a falha. Instale essas atualizações o mais rápido possível”, declarou o órgão.

O NCSC-NL acrescentou que versões mais antigas exigem atenção redobrada: “O Exchange Server 2016 e o 2019 só recebem atualizações por meio de contratos estendidos de suporte. Se a sua empresa usa essas versões, garanta que o servidor fique acessível apenas internamente e substitua o sistema se possível”.

Dados do grupo de monitoramento Shadowserver indicam que pelo menos 21.899 endereços de IP vinculados ao Exchange continuam desprotegidos e visíveis publicamente na rede mundial. A maior parte das máquinas vulneráveis está concentrada nos Estados Unidos (cerca de 6,2 mil) e na Alemanha (5,1 mil).

Na Alemanha, o Departamento Federal de Segurança da Informação (BSI), por meio do CERT-Bund, alertou que aproximadamente 85% dos servidores Exchange locais no país ainda não receberam a proteção. A entidade germânica acrescentou ainda que a maioria dos clientes com versões antigas não contratou as atualizações estendidas de suporte, o que amplia os riscos de invasão corporativa em larga escala.

O caso do Exchange ilustra uma pressão contínua sobre a infraestrutura de mensagens corporativas, identificaram os analistas. Desde o fim de 2021, a Agência de Segurança de Infraestrutura e Cibersegurança dos Estados Unidos (Cisa) catalogou 20 vulnerabilidades ativas em servidores Exchange, sendo que 14 delas acabaram aproveitadas em ataques de sequestro digital de dados (ransomware).

A Microsoft já havia comunicado aos clientes que o encerramento total das atualizações estendidas para as edições de 2016 e 2019 ocorrerá em outubro de 2026, o que torna a migração para versões mais recentes um passo necessário para evitar incidentes.
 

Por falar em segurança no universo digital, Google anuncia Android 17 com blindagem contra espionagem de operadoras. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.