Microsoft Exchange CVE-2026-62911: 22.000 server senza patch mentre l’exploit circola in rete

Marcus Chen Staff Engineer (Backend & Cloud), YuSMP Group · Infrastruttura e sicurezza cloud per team enterprise in US ed EU

Risposta rapida

Cosa è successo e perché è importante

Microsoft ha divulgato CVE-2026-62911 l’11 agosto 2026, lo stesso giorno in cui i ricercatori di sicurezza che l’hanno scoperta l’hanno presentata al Pwn2Own Berlin 2026 attraverso il Zero Day Initiative di Trend Micro. La correzione è arrivata due giorni dopo con il Patch Tuesday, ma al 31 agosto — tre settimane intere dopo la disponibilità della patch — quasi 22.000 server restano esposti. Questa cifra proviene da ricercatori che scansionano internet alla ricerca di istanze Exchange che non hanno ancora applicato l’aggiornamento cumulativo.

Ciò che ha cambiato il quadro il 2 settembre è stata la conferma pubblica da parte del Netherlands NCSC-NL, uno dei centri di sicurezza nazionale europei tecnicamente più autorevoli. Il loro avviso ha dichiarato che “un exploit funzionante per la vulnerabilità circola ora online.” Non si tratta di un modello di rischio teorico o di un proof-of-concept da ricercatori — è un’autorità governativa di sicurezza che afferma che codice d’attacco funzionale è disponibile per gli avversari. Combinato con una grande superficie senza patch e la bassa complessità dell’attacco (la vulnerabilità richiede solo accesso di rete e un account esistente a basso privilegio, senza interazione utente), le condizioni per uno sfruttamento di massa sono in atto. Per i team che hanno trattato questo come un normale elemento del backlog di Patch Tuesday, questo scenario deve spostarsi verso un’applicazione della patch di emergenza.

Come funziona l’attacco capture-replay?

Il difetto risiede nell’endpoint MRSProxy di Exchange Server, un componente utilizzato per la replica e la migrazione delle caselle di posta tra server Exchange. L’architettura di Microsoft richiede che questo endpoint sia raggiungibile dalla rete per il funzionamento dei flussi di migrazione — ma nelle versioni interessate, MRSProxy non applica Extended Protection for Authentication (EPA), il meccanismo che lega un token di autenticazione NTLM a uno specifico canale TLS e ne impedisce il riutilizzo su una connessione diversa.

Senza EPA, un attaccante con accesso autenticato a basso privilegio sulla rete può intercettare lo scambio di autenticazione NTLM tra un server Exchange e un domain controller, quindi ritrasmettere quelle credenziali acquisite contro Exchange per impersonare l’account macchina. Da lì, poiché i server Exchange detengono accesso ad alto privilegio su Active Directory e sulle caselle di posta degli utenti per design, la credenziale ritrasmessa dà all’attaccante il controllo su ogni casella di posta Exchange sul server — accesso in lettura, scrittura, invio ed eliminazione senza conoscere la password di un singolo utente.

Si tratta di un attacco NTLM relay in una categoria che Microsoft ha progressivamente chiuso nel suo portafoglio di prodotti, motivo per cui EPA esiste. La severità pratica qui non è teorica: un account macchina Exchange compromesso è un principal Active Directory con ampi diritti di delega, e da Exchange un attaccante può spostarsi verso altre operazioni di directory a seconda di come è configurato l’ambiente on-premises. Si tratta della stessa classe di percorso di movimento laterale su cui le organizzazioni sono state avvertite attraverso framework come Enterprise Access Model di Microsoft e le linee guida Zero Trust della CISA.

Quanti server Exchange sono esposti su internet?

I ricercatori che scansionavano l’internet pubblico al 31 agosto 2026 hanno contato 21.899 indirizzi IP unici che ospitano istanze Exchange Server che non hanno applicato l’aggiornamento cumulativo del 13 agosto. La distribuzione geografica è disomogenea: gli Stati Uniti rappresentano circa 6.200 di quei server, il singolo cluster nazionale più grande. La Germania rappresenta circa 5.100, e viene segnalata come avente il tasso di esposizione relativo più alto tra le principali economie — si stima che circa l’85% di tutte le installazioni Exchange tedesche on-premises stia ancora eseguendo la versione vulnerabile.

Questi sono server raggiungibili dall’internet aperto, che è un sottoinsieme delle installazioni Exchange totali. Le istanze Exchange solo interne sono più difficili da sfruttare da remoto (un attaccante deve essere già sulla rete per eseguire il capture-relay), ma restano a rischio da minacce interne o attaccanti che hanno già ottenuto un punto d’appoggio tramite un vettore diverso. La cifra pubblica di 22.000 è ciò che determina il rischio immediato a livello di rete non autenticata.

Le dimensioni della popolazione senza patch tre settimane dopo la disponibilità di una correzione riflettono un pattern organizzativo ben documentato: i grandi ambienti Exchange on-premises richiedono test accurati delle patch, cicli di approvazione change-management e finestre di manutenzione pianificate che rallentano l’applicazione delle patch rispetto alla posta ospitata nel cloud. Con un exploit pubblico ora confermato, quei processi organizzativi devono essere accelerati o si deve implementare un controllo compensativo — limitare l’accesso MRSProxy alla rete interna è un passo pratico a breve termine per gli ambienti che non possono applicare la patch immediatamente.

Cosa significa per i team software in Italia e nell’UE

Il messaggio immediato è semplice: applicare la patch ora. Ma la domanda aziendale più profonda per qualsiasi team che esegue ancora Exchange 2016 o 2019 è quella che questa vulnerabilità porta alla luce. La copertura Extended Security Update (ESU) per Exchange 2016 e 2019 termina nell’ottobre 2026. Dopo quella data, le vulnerabilità in queste versioni non riceveranno patch di sicurezza a meno che Microsoft non faccia un’eccezione straordinaria, che non è un’ipotesi di pianificazione. Una vulnerabilità Exchange critica senza patch dopo la scadenza ESU è una condizione permanente, non un ritardo temporaneo.

In Italia, l’ACN (Agenzia per la Cybersicurezza Nazionale) monitora costantemente le vulnerabilità critiche nei sistemi di posta elettronica aziendale e pubblica avvisi di sicurezza per le organizzazioni soggette alla normativa NIS2, recepita in Italia con il D.Lgs. 138/2024. Gli enti della Pubblica Amministrazione che utilizzano Exchange on-premises — una configurazione ancora diffusa nelle PA locali e regionali — sono tenuti a segnalare gli incidenti informatici significativi all’ACN entro 24 ore. Il Garante per la protezione dei dati personali richiede la notifica entro 72 ore ai sensi dell’art. 33 del GDPR in caso di accesso non autorizzato alle caselle di posta contenenti dati personali. Per gli istituti finanziari, DORA prevede un obbligo di segnalazione iniziale entro 4 ore dalla classificazione dell’incidente.

Questo dà alle organizzazioni che utilizzano queste versioni un punto di decisione definito e molto vicino nel tempo: aggiornare a Exchange Subscription Edition on-premises, oppure migrare a Exchange Online / Microsoft 365. Per molte imprese, il percorso di migrazione cloud è operativamente più semplice ed elimina l’intera categoria di vulnerabilità server on-premises come CVE-2026-62911. Per i team in settori regolamentati, può anche semplificare la conformità: la postura di conformità di Microsoft 365 porta attestazioni SOC 2 Type II, ISO 27001 e HIPAA che un’installazione on-premises deve essere separatamente sottoposta ad audit.

Il pattern più ampio vale anche la pena nominare: le vulnerabilità NTLM relay sull’infrastruttura Microsoft sono una classe di attacco duratura. Microsoft ha progressivamente integrato l’applicazione di EPA nei prodotti specificamente per eliminare questa famiglia di attacchi, ma la base installata di Exchange on-premises è lenta nell’applicare le patch ed è grande in aggregato. Qualsiasi organizzazione con Exchange on-premises dovrebbe trattare l’igiene Microsoft NTLM/Kerberos — EPA applicata, firma SMB, firma LDAP, gruppo Protected Users, architettura admin a livelli — come un investimento continuo piuttosto che una casella da spuntare una volta.

Cosa fare questa settimana

1. Applicare immediatamente la patch. Installare l’aggiornamento cumulativo del Patch Tuesday del 13 agosto 2026 su ogni server Exchange 2016 CU23, 2019 CU14/CU15 e SE RTM. Questa è l’unica correzione completa.
2. Se non è possibile applicare la patch ora, limitare MRSProxy. Bloccare l’accesso esterno all’endpoint MRSProxy al perimetro di rete; spostarlo in modalità solo interna. Questo non risolve la vulnerabilità ma rimuove la principale superficie di exploit remoto.
3. Esaminare i log di autenticazione. Cercare nei log di Exchange e del domain controller pattern NTLM relay anomali, escalation di privilegi insolite o eventi di accesso alle caselle di posta inattesi dall’11 agosto. Se si trovano prove di sfruttamento precedente, escalare immediatamente alla risposta agli incidenti e avviare la valutazione della notifica della violazione ai sensi del GDPR (72h), dell’ACN (24h per le PA) e di qualsiasi normativa DORA applicabile.
4. Abilitare Extended Protection for Authentication su Exchange. Anche dopo l’applicazione della patch, abilitare EPA a livello di sito su Exchange rende strutturalmente più difficile la classe di attacchi relay in futuro. Le linee guida Microsoft sull’EPA per Exchange sono nell’avviso di agosto.
5. Stabilire una data di ritiro definitiva per Exchange 2016/2019. La fine del ciclo di vita ESU di ottobre 2026 non è una voce di corridoio — è una scadenza pubblicata da Microsoft. Se si è ancora su queste versioni, è necessario un piano di migrazione finalizzato a settembre ed esecuzione entro ottobre al più tardi. Rimandare significa accettare infrastrutture permanentemente senza patch.
6. Considerare una valutazione della sicurezza dell’ambiente Exchange. Se l’installazione Exchange è stata accessibile da internet dall’11 agosto e non si è ancora applicata la patch, è consigliata una valutazione della compromissione prima di restituire l’ambiente alla piena fiducia produttiva.

Domande frequenti

Fonti

Help Net Security — Nearly 22,000 Microsoft Exchange servers remain exposed to critical security flaw (CVE-2026-62911)
BleepingComputer — Nearly 22,000 Microsoft Exchange servers vulnerable to hijack attacks
Microsoft Security Response Center — CVE-2026-62911 Exchange Server Elevation of Privilege Vulnerability
SentinelOne Vulnerability Database — CVE-2026-62911