Según recoge BleepingComputer, cerca de 22.000 servidores Microsoft Exchange expuestos en internet siguen sin parchear una vulnerabilidad de autenticación de gravedad alta, catalogada como CVE-2026-62911, que permite a un atacante hacerse con el control de todos los buzones de correo de la organización. El fallo fue reportado por Orange Tsai, del equipo DEVCORE Research Team, y afecta a Exchange Server 2016, Exchange Server 2019 y Exchange Server Subscription Edition (SE).
Un atacante que ya cuente con privilegios básicos en el servidor puede explotarlo en ataques de baja complejidad, aunque requieren cierta interacción del usuario. Microsoft lo describió así al publicar el parche en las actualizaciones de agosto de 2026: «la omisión de autenticación por captura y repetición en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios a través de la red», y añadió que «el atacante podría tomar el control de los buzones de todos los usuarios de Exchange: los atacantes pueden enviar correos, leer correos y descargar adjuntos».
Ya hay código de explotación circulando, según las autoridades holandesas
Microsoft todavía no ha actualizado su aviso oficial sobre la CVE-2026-62911 para confirmarlo, pero el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) informó la semana pasada de que ya existe código de explotación disponible en internet para esta vulnerabilidad. El organismo fue tajante en su recomendación: «Microsoft ha puesto a disposición actualizaciones para solucionar las vulnerabilidades. Instálenlas lo antes posible».
El aviso holandés apunta directamente al grupo de servidores más expuesto: «Exchange Server 2016 y 2019 solo reciben actualizaciones de seguridad a través del programa de Actualizaciones de Seguridad Extendidas (ESU). ¿Usan alguna de estas versiones? Si es así, asegúrense de que el servidor sea accesible solo internamente y sustitúyanlo si es posible».
El grueso de los servidores sin parchear está en Estados Unidos y Alemania
El grupo de vigilancia de amenazas Shadowserver localizó el martes 21.899 direcciones IP con huella de Microsoft Exchange Server todavía sin parchear y expuestas en internet, la mayoría en Estados Unidos (6.200) y Alemania (5.100). En paralelo, la Oficina Federal alemana para la Seguridad de la Información (BSI) advirtió el viernes de que alrededor del 85% de todos los servidores Exchange on-premises en Alemania siguen siendo vulnerables a este fallo.
Por ahora, la CVE-2026-62911 no ha sido marcada como explotada activamente. Pero el historial reciente de Exchange no invita al optimismo: Microsoft parcheó en junio otra vulnerabilidad, la CVE-2026-42897, que sí fue explotada en ataques de cross-site scripting (XSS) contra usuarios de Outlook Web Access, y que la CISA incluyó en su catálogo de vulnerabilidades explotadas activamente el 15 de mayo, ordenando a las agencias del gobierno estadounidense parchear en un plazo de dos semanas.
A quién le toca actuar ya y qué margen queda
Esto no es una alarma abstracta para quien administra un Exchange propio: si tu organización todavía corre Exchange 2016 o 2019 y el servidor mira a internet, estás en el grupo de mayor riesgo, precisamente porque esas versiones ya no reciben parches por la vía normal, solo mediante el programa ESU. La recomendación de las autoridades holandesas no deja lugar a dudas: instalar la actualización cuanto antes o, si eso no es posible de inmediato, restringir el acceso al servidor exclusivamente a la red interna. Quien haya migrado ya a Exchange Server Subscription Edition (SE) no se libra tampoco, porque la vulnerabilidad afecta igualmente a esa versión, aunque sí recibe el parche por el canal normal.
Aquí conviene separar dos problemas distintos que se han mezclado en la cobertura de este fallo: uno es la vulnerabilidad en sí, que ya tiene parche desde agosto; el otro es que buena parte de las organizaciones afectadas siguen usando versiones que, según recuerda Microsoft, dejarán de recibir actualizaciones ESU para Exchange 2016 y 2019 en octubre de 2026. Eso significa que el margen para seguir posponiendo la migración se acaba pronto, y quien dependa de esas versiones tiene delante dos tareas a la vez: parchear ya este fallo concreto y planificar el salto a una versión con soporte antes de que ese soporte extendido desaparezca del todo.
El historial de Exchange como objetivo tampoco ayuda a relajarse: desde noviembre de 2021, la CISA ha añadido 20 vulnerabilidades de Microsoft Exchange Server a su lista de fallos explotados activamente, y 14 de ellas se han usado también en ataques de ransomware. En octubre, tras anunciar Microsoft el fin de soporte de Exchange 2016 y 2019, la CISA y la NSA publicaron una guía conjunta para reforzar la seguridad de estos servidores, una lectura que puede venir bien a quien todavía tenga que mantener alguna de estas instalaciones en producción mientras completa la migración.
Escrito por Eloy Andrade
