Microsoft Exchange CVE-2026-62911 : 22 000 serveurs non patchés alors que l'exploit public circule

Marcus Chen Ingénieur senior (Backend & Cloud), YuSMP Group · Infrastructure et sécurité cloud pour les équipes d'entreprise US et EU

En bref

Ce qui s'est passé et pourquoi c'est important

Microsoft a divulgué CVE-2026-62911 le 11 août 2026, le même jour où les chercheurs en sécurité qui l'ont découvert l'ont présenté lors du Pwn2Own Berlin 2026 via la Zero Day Initiative de Trend Micro. Le correctif est arrivé deux jours plus tard avec le Patch Tuesday, mais au 31 août — trois semaines entières après la publication du correctif — près de 22 000 serveurs restent exposés. Ce chiffre provient de chercheurs qui analysent Internet ouvert à la recherche d'instances Exchange n'ayant pas encore appliqué la mise à jour cumulative.

Ce qui a changé la donne le 2 septembre, c'est la confirmation publique du NCSC-NL néerlandais, l'un des centres de sécurité nationaux les plus crédibles techniquement d'Europe. Leur avis indique qu'« un exploit fonctionnel pour la vulnérabilité circule désormais en ligne ». Il ne s'agit pas d'un modèle de risque théorique ni d'une preuve de concept de chercheur — c'est une autorité de sécurité gouvernementale indiquant qu'un code d'attaque fonctionnel est disponible pour les adversaires. Combiné à une large surface non patchée et à une faible complexité d'attaque (la faille ne nécessite qu'un accès réseau et un compte existant de faible privilège, sans interaction utilisateur), les conditions d'une exploitation massive sont réunies. Pour les équipes qui traitaient cela comme un simple élément de backlog Patch Tuesday, ce calcul doit basculer vers un patchage d'urgence.

Comment fonctionne l'attaque par capture-replay ?

La faille réside dans l'endpoint MRSProxy d'Exchange Server, un composant utilisé pour la réplication et la migration des boîtes aux lettres entre serveurs Exchange. L'architecture de Microsoft exige que cet endpoint soit accessible depuis le réseau pour que les flux de migration fonctionnent — mais dans les versions affectées, MRSProxy n'applique pas la protection étendue pour l'authentification (EPA), le mécanisme qui lie un jeton d'authentification NTLM à un canal TLS spécifique et l'empêche d'être réutilisé sur une connexion différente.

Sans EPA, un attaquant disposant d'un accès réseau authentifié de faible privilège peut intercepter l'échange d'authentification NTLM entre un serveur Exchange et un contrôleur de domaine, puis relayer ces crédentiels capturés contre Exchange pour usurper le compte machine. À partir de là, parce que les serveurs Exchange détiennent par conception un accès à hauts privilèges sur Active Directory et les boîtes aux lettres des utilisateurs, le crédentiel relayé donne à l'attaquant le contrôle de chaque boîte aux lettres Exchange sur le serveur — accès en lecture, écriture, envoi et suppression sans connaître le mot de passe d'un seul utilisateur.

Il s'agit d'une attaque par relais NTLM dans une catégorie que Microsoft ferme progressivement dans l'ensemble de son portefeuille de produits, ce qui est précisément la raison d'être d'EPA. La sévérité pratique n'est pas théorique : un compte machine Exchange compromis est un principal Active Directory avec de larges droits de délégation, et depuis Exchange un attaquant peut pivoter vers d'autres opérations d'annuaire selon la configuration de l'environnement sur site. Il s'agit de la même classe de chemin de mouvement latéral contre laquelle les organisations ont été mises en garde à travers des référentiels tels que le modèle d'accès entreprise de Microsoft et les recommandations Zero Trust de la CISA.

Quelle est l'exposition réelle de la population Exchange accessible sur Internet ?

Les chercheurs analysant l'Internet public au 31 août 2026 ont compté 21 899 adresses IP uniques hébergeant des instances Exchange Server n'ayant pas appliqué la mise à jour cumulative du 13 août. La distribution géographique est inégale : les États-Unis représentent environ 6 200 de ces serveurs, le plus grand cluster national. L'Allemagne représente environ 5 100, avec un taux d'exposition relatif parmi les plus élevés des grandes économies — environ 85 % de tous les déploiements Exchange allemands sur site fonctionneraient encore avec la version vulnérable.

Il s'agit de serveurs accessibles depuis Internet ouvert, qui constituent un sous-ensemble des déploiements Exchange totaux. Les instances Exchange uniquement internes sont plus difficiles à exploiter à distance (un attaquant doit déjà être sur le réseau pour effectuer la capture-relay), mais elles restent exposées aux menaces internes ou aux attaquants qui ont déjà pris pied via un autre vecteur. Le chiffre public de 22 000 est ce qui détermine le risque immédiat au niveau réseau non authentifié.

L'ampleur de la population non patchée trois semaines après la publication d'un correctif reflète un schéma organisationnel bien documenté : les grands environnements Exchange sur site nécessitent des tests de correctifs minutieux, des cycles d'approbation de gestion des changements et des fenêtres de maintenance planifiées qui ralentissent le patchage par rapport à la messagerie hébergée dans le cloud. Avec un exploit public désormais confirmé, ces processus organisationnels doivent être accélérés ou un contrôle compensatoire mis en place — restreindre l'accès MRSProxy au réseau interne est une mesure à court terme applicable pour les environnements ne pouvant pas patcher immédiatement.

Ce que cela signifie pour les équipes françaises et européennes

Le message immédiat est clair : patcher maintenant. Mais la question métier plus profonde pour toute équipe fonctionnant encore sous Exchange 2016 ou 2019 est celle que cette vulnérabilité force à l'ouverture. La couverture Extended Security Update (ESU) pour Exchange 2016 et 2019 se termine en octobre 2026. Après cette date, les vulnérabilités dans ces versions ne recevront plus de correctifs de sécurité, sauf exception extraordinaire de Microsoft — ce qui ne constitue pas une hypothèse de planification. Une vulnérabilité Exchange critique non patchée après l'échéance ESU est une condition permanente, pas un retard temporaire.

En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) surveille activement les campagnes d'exploitation visant l'infrastructure de messagerie d'entreprise : une divulgation publique d'exploit sur Exchange déclenche généralement un bulletin d'alerte CERT-FR dans les 24 à 48 heures. Les organisations soumises à la directive NIS2 — transposée en droit français par la loi n° 2024-1313 — sont tenues de notifier l'ANSSI de tout incident cyber significatif dans un délai de 24 heures. Parallèlement, la CNIL exige une notification sous 72 heures au titre de l'article 33 du RGPD si une exploitation donne accès à des données personnelles contenues dans les boîtes mail. Pour les opérateurs d'importance vitale (OIV) et les opérateurs de services essentiels (OSE) du secteur financier, le délai de signalement DORA de 4 heures s'applique également.

Cela donne aux organisations utilisant ces versions un point de décision défini et très proche : mettre à niveau vers Exchange Subscription Edition sur site, ou migrer vers Exchange Online / Microsoft 365. Pour de nombreuses entreprises, le chemin de migration cloud est opérationnellement plus simple et élimine toute la catégorie de vulnérabilités de serveurs sur site comme CVE-2026-62911. Pour les équipes des secteurs réglementés, cela peut également simplifier la conformité : la posture de conformité de Microsoft 365 comprend les attestations SOC 2 Type II, ISO 27001 et HIPAA qu'un déploiement sur site doit faire auditer séparément.

Le schéma plus large mérite également d'être nommé : les vulnérabilités par relais NTLM sur l'infrastructure Microsoft constituent une classe d'attaque durable. Microsoft a déployé l'application EPA progressivement dans ses produits spécifiquement pour éliminer cette famille d'attaques, mais la base installée Exchange sur site est lente à patcher et vaste en agrégat. Toute organisation disposant d'Exchange sur site devrait traiter son hygiène Microsoft NTLM/Kerberos — EPA appliquée, signature SMB, signature LDAP, groupe Protected Users, architecture d'administration en couches — comme un investissement continu plutôt qu'une case cochée une seule fois.

Ce qu'il faut faire cette semaine

1. Patcher immédiatement. Appliquez la mise à jour cumulative du Patch Tuesday du 13 août 2026 à chaque serveur Exchange 2016 CU23, 2019 CU14/CU15 et SE RTM. C'est le seul correctif complet.
2. Si vous ne pouvez pas patcher maintenant, restreignez MRSProxy. Bloquez l'accès externe à l'endpoint MRSProxy au niveau de votre périmètre réseau ; limitez-le à un accès interne uniquement. Cela ne corrige pas la faille mais supprime la principale surface d'exploitation distante.
3. Examinez les journaux d'authentification. Recherchez dans les journaux Exchange et des contrôleurs de domaine des schémas de relais NTLM anormaux, des escalades de privilèges inhabituelles ou des événements d'accès aux boîtes aux lettres inattendus depuis le 11 août. Si vous trouvez des preuves d'exploitation antérieure, escaladez immédiatement en réponse aux incidents et commencez l'évaluation de notification de violation au titre du RGPD (72 h pour la CNIL), de NIS2/ANSSI (24 h) et de toute règle applicable.
4. Activez la protection étendue pour l'authentification sur Exchange. Même après patchage, l'activation d'EPA sur l'ensemble du site Exchange rend la classe d'attaque par relais structurellement plus difficile à l'avenir. Les recommandations de Microsoft sur EPA pour Exchange figurent dans l'avis d'août.
5. Fixez une date ferme pour la mise hors service d'Exchange 2016/2019. La fin de vie ESU d'octobre 2026 n'est pas une rumeur — c'est une échéance Microsoft publiée. Si vous êtes encore sur ces versions, vous avez besoin d'un plan de migration finalisé en septembre et d'une exécution en octobre au plus tard. Différer signifie accepter une infrastructure définitivement non patchée.
6. Envisagez un audit de sécurité de votre environnement Exchange. Si votre déploiement Exchange est accessible depuis Internet depuis le 11 août et que vous n'avez pas encore patché, une évaluation de compromission est justifiée avant de remettre l'environnement en confiance de production complète.

Questions fréquentes

Sources

Help Net Security — Nearly 22,000 Microsoft Exchange servers remain exposed to critical security flaw (CVE-2026-62911)
BleepingComputer — Nearly 22,000 Microsoft Exchange servers vulnerable to hijack attacks
Microsoft Security Response Center — CVE-2026-62911 Exchange Server Elevation of Privilege Vulnerability
SentinelOne Vulnerability Database — CVE-2026-62911