A Microsoft Exchange Server egyik súlyos hitelesítési gyengesége miatt közel 22 000, internet felől elérhető rendszer lehet veszélyben. A sérülékenység kihasználásával a támadók átvehetik az irányítást a vállalati postaládák felett, alkalmazottak nevében küldhetnek üzeneteket, és a kompromittált levelezési infrastruktúrát felhasználva mélyebbre juthatnak a vállalati hálózatban.
A CVE-2026-62911 azonosítóval nyomon követett sérülékenység a Microsoft Exchange Server 2016, az Exchange Server 2019 és az Exchange Server Subscription Edition helyben telepített példányait érinti. A Microsoft a 2026. augusztusi Patch Tuesday részeként, augusztus 11-én adott ki biztonsági frissítéseket a hiba javításához.
A javítások rendelkezésre állása ellenére az augusztus végén közzétett internetes vizsgálati adatok szerint továbbra is jelentős számú Exchange-telepítés lehet sebezhető. A kockázatot tovább növeli, hogy a beszámolók alapján már a sérülékenység technikai részletei és a kihasználását lehetővé tevő exploitkód is nyilvánosan hozzáférhető.
A hibát Orange Tsai, a DEVCORE kutatócsoportjának biztonsági szakértője jelentette a Microsoftnak. Korábbi munkája során több jelentős Exchange Server-támadási láncot is feltárt.
A Microsoft a CVE-2026-62911-et jogosultságkiterjesztési sérülékenységként osztályozza, amelyet egy capture-and-replay, vagyis rögzítésen és újrajátszáson alapuló hitelesítésmegkerülési lehetőség okoz. A sikeres kihasználás lehetővé teheti az Exchange-postaládák átvételét, a bizalmas levelek elolvasását, a mellékletek letöltését, valamint e-mailek küldését legitim felhasználók nevében.
A Microsoft a sérülékenységhez 10-ből 8,0-s CVSS súlyossági pontszámot rendelt. Az alapul szolgáló kutatást ismertető különálló technikai figyelmeztetések alapján azonban a gyakorlati hatás szélesebb körű lehet annál, mint amit a gyártó rövid leírása elsőre sugall.
Közel 22 000 sebezhető kiszolgálót találtak az interneten
Az interneten elérhető és sebezhető rendszereket vizsgáló nonprofit Shadowserver Foundation 2026. augusztus 27. és 31. között 21 899 olyan egyedi IP-címet azonosított, amelyen a CVE-2026-62911 szempontjából javítatlan verzióhoz kapcsolódó Microsoft Exchange-ujjlenyomatot észlelt.
A legtöbb potenciálisan sebezhető rendszer az Egyesült Államokban működött, ahol körülbelül 6200 érintett telepítést találtak. A Shadowserver vizsgálata alapján Németország mintegy 5100 rendszerrel a második leginkább érintett ország volt.
A Shadowserver mérései elsősorban a távolról megfigyelhető szoftververziókon és az internet felől elérhető szolgáltatások ujjlenyomatain alapulnak. A számadatok ezért valószínűsíthetően sebezhető rendszereket jelölnek, nem pedig olyan példányokat, amelyeken sikeres exploitálással ténylegesen megerősítették a hiba jelenlétét.
A kitettség mértéke még ezzel a fenntartással együtt is jelentős. Az Exchange-kiszolgálók általában több évre visszamenő érzékeny kommunikációt, üzleti dokumentumokat, jelszó-visszaállítási üzeneteket, pénzügyi levelezést, jogi egyeztetéseket, valamint az alkalmazottakra, ügyfelekre és beszállítókra vonatkozó információkat tárolnak.
Mivel ezek a kiszolgálók gyakran integrálva vannak az Active Directoryval és más belső szolgáltatásokkal, az Exchange kompromittálása az e-mailekhez való hozzáférésnél lényegesen többet biztosíthat a támadóknak.
A német Szövetségi Információbiztonsági Hivatal, vagyis a BSI külön is arra figyelmeztetett, hogy a Németországban észlelt helyben telepített Exchange-kiszolgálók hozzávetőleg 85 százalékát még nem védték meg a sérülékenységgel szemben.
A két legnagyobb világgazdaságban található sebezhető kiszolgálók magas száma jól szemlélteti, milyen nehézséget jelent a szervezetek számára a helyben működtetett levelezési infrastruktúra karbantartása. Ez különösen igaz akkor, amikor a régebbi Exchange-verziók hátralévő biztonságifrissítés-támogatása a végéhez közeledik.
Hogyan működik a hitelesítés megkerülése?
A CVE-2026-62911 besorolása CWE-294: Authentication Bypass by Capture-Replay, vagyis hitelesítés megkerülése rögzítésen és újrajátszáson alapuló támadással.
Egy capture-and-replay támadásban az ellenfél rögzíti vagy más módon megszerzi egy legitim kapcsolat során továbbított hitelesítési adatokat, majd egy másik szolgáltatásnak vagy végpontnak ismételten elküldi azokat. A támadónak nem feltétlenül kell visszafejtenie vagy megszereznie a felhasználó egyszerű szöveges jelszavát. A cél ehelyett a hitelesítési adatok olyan környezetben történő újrafelhasználása, ahol a fogadó rendszer tévesen a személyazonosság igazolásaként fogadja el azokat.
Ez azért fontos, mert a jelszó megváltoztatása és a többtényezős hitelesítés önmagában nem számol fel automatikusan minden újrajátszási vagy relay típusú támadási lehetőséget. Ha a kiszolgáló nem köti kellően szorosan a hitelesítési adatcserét az eredetileg megcélzott kapcsolathoz, végponthoz vagy munkamenethez, az elfogott hitelesítő adatokat vagy tokeneket olyan helyen is elfogadhatja, ahol azokat sohasem lett volna szabad felhasználni.
A Microsoft nyilvános kockázatértékelése szerint a kihasználáshoz hálózati hozzáférés, alacsony támadási összetettség, alacsony szintű jogosultság és felhasználói közreműködés szükséges. A vállalat szerint egy sikeres támadó átveheti az irányítást az érintett Exchange-környezetben üzemeltetett összes felhasználói postaláda felett.
A holland Nemzeti Kiberbiztonsági Központ, az NCSC-NL azonban súlyosabbnak minősítette a kitettséget. A szervezet arra figyelmeztetett, hogy egy támadó bejelentkezési adatok nélkül is képes lehet távolról rosszindulatú kódot végrehajtani. Az NCSC-NL szerint a sérülékenység kihasználása hozzáférést biztosíthat az e-mail-fiókokhoz, és lehetővé teheti a támadó további mozgását az áldozat hálózatában.
A két leírás nem feltétlenül mond ellent egymásnak. A Microsoft CVE-bejegyzése egy szabványosított pontozási modell alapján foglalja össze a sérülékenységet, míg a holland szervezet vélhetően a kutatók által bemutatott, szélesebb támadási láncot értékeli. A hitelesítés megkerülése olyan belépési pontot teremthet, amely más hibákat vagy Exchange-funkciókat is elérhetővé tesz, és végül a postaládákhoz való hozzáférésnél súlyosabb eredményhez vezethet.
A szervezeteknek ezért nem szabad úgy értelmezniük a „szükséges jogosultság” és a „szükséges felhasználói közreműködés” mezőket, mintha azok azt jeleznék, hogy az internet felől elérhető Exchange-kiszolgálók csak alacsony kockázatnak lennének kitéve.
A sérülékenység a Pwn2Own versenyen bemutatott Exchange-kompromittáláshoz kapcsolódik
A Zero Day Initiative (ZDI) által közzétett figyelmeztetések további részletekkel szolgálnak a sérülékenység eredetéről és lehetséges hatásáról.
A CVE-2026-62911 ahhoz a sikeres Exchange Server-kompromittáláshoz kapcsolódik, amelyet Orange Tsai a Pwn2Own Berlin 2026 hackerversenyen mutatott be. A kutató három biztonsági hibát kapcsolt össze annak érdekében, hogy SYSTEM jogosultságokkal hajtson végre kódot a megcélzott Exchange-kiszolgálón. A teljesítményért 200 000 dolláros díjat kapott.
A ZDI három kapcsolódó figyelmeztetést tett közzé ugyanahhoz a CVE-azonosítóhoz:
- A ZDI-26-534 egy capture-replay típusú hitelesítésmegkerülési sérülékenységet ismertet.
- A ZDI-26-535 egy kívülről vezérelhető fájlútvonalhoz kapcsolódik, amely távoli kódfuttatáshoz vezethet.
- A ZDI-26-538 egy hibás jogosultságkezelési gyengeséget dokumentál, amely lehetővé teheti a jogosultságok kiterjesztését.
Ezek a megállapítások együttesen megmutatják, miért lehet a sérülékenység a gyakorlatban veszélyesebb annál, mint amit az önmagában álló „jogosultságkiterjesztés” besorolás sugall.
A hitelesítés megkerülésével kijátszható egy privilegizált Exchange-funkciót védő biztonsági korlát. Egy második gyengeség ezután lehetővé teheti egy fájlútvonal manipulálását vagy adatok érzékeny helyre történő írását. Egy harmadik jogosultságkezelési hiba pedig megadhatja a kompromittálás befejezéséhez szükséges engedélyeket.
Ezek az elemek támadási láncba kapcsolva lehetővé tehetik, hogy a támadó egy külső kapcsolatból kiindulva tetszőleges kódot futtasson a kiemelten magas jogosultságú SYSTEM-fiók alatt.
Ez nem jelenti azt, hogy a CVE-2026-62911 elleni minden támadási kísérlet automatikusan a kiszolgáló teljes kompromittálásához vezet. A támadási lánc sikere a konfigurációtól, a hálózati elérhetőségtől, az engedélyezett szolgáltatásoktól és más technikai feltételektől is függ. A sikeres Pwn2Own-demonstráció azonban bizonyítja, hogy a sérülékenységek nem pusztán elméletben, hanem a gyakorlatban is kihasználhatók.
A nyilvános exploitkód növeli a tömeges vizsgálatok kockázatát
Az NCSC-NL jelentése szerint a CVE-2026-62911 kihasználására alkalmas exploitkód nyilvánosan hozzáférhető, ezért a szervezet arra szólította fel az üzemeltetőket, hogy haladéktalanul telepítsék a Microsoft frissítéseit.
Egy proof-of-concept kód közzététele gyakran alapvetően megváltoztatja a sérülékenységhez kapcsolódó fenyegetési környezetet. A technikai részletek nyilvánosságra kerülése előtt a kihasználási képesség az eredeti kutatókra, a jelentős erőforrásokkal rendelkező hírszerző szolgálatokra vagy a hibát egymástól függetlenül megtaláló támadókra korlátozódhat. Egy működő kód vagy egy részletes támadási lánc közzététele után azonban már lényegesen szélesebb kör elemezheti és alakíthatja át azt saját céljaira.
Ebbe a körbe zsarolóvírus-csoportok, kezdeti hozzáférést értékesítő brókerek, botnetfejlesztők és az internetet elmulasztott biztonsági frissítések után kutatva vizsgáló opportunista támadók is beletartozhatnak.
A nyilvános exploit önmagában még nem bizonyítja, hogy a sérülékenységet tényleges támadásokban is kihasználják. Szeptember 1-jéig a Microsoft nem jelölte aktívan kihasználtként a CVE-2026-62911-et, és az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség, a CISA sem vette fel a hibát a Known Exploited Vulnerabilities Catalog, vagyis az ismerten kihasznált sérülékenységek katalógusába.
Fontos tehát különbséget tenni aközött, hogy egy sérülékenység kihasználható, illetve hogy valós támadásokban bizonyítottan ki is használják.
Az Exchange Server története alapján azonban a védekező szervezeteknek nem lenne szabad tömeges támadások bizonyítékaira várniuk a cselekvés előtt. A korábbi Exchange-sérülékenységeket gyakran röviddel a nyilvánosságra hozatal után fegyverként kezdték használni. A támadók a kompromittált kiszolgálókon web shelleket telepítettek, hitelesítő adatokat loptak, e-maileket szivárogtattak ki, és hozzáférést készítettek elő későbbi zsarolóvírus-műveletekhez.
A postaládák átvétele az egész vállalatot veszélybe sodorhatja
A CVE-2026-62911 közvetlen következménye az érintett Exchange-környezetben található összes postaládához való jogosulatlan hozzáférés lehetősége.
Ez többek között a következő adatokat teheti hozzáférhetővé:
- Vezetők és igazgatósági tagok bizalmas beszélgetései
- Jogi dokumentumok és ügyvédi levelezés
- Ügyfelek és alkalmazottak személyes adatai
- Számlák, fizetési utasítások és banki adatok
- Jelszó-visszaállítási hivatkozások és fiókregisztrációs üzenetek
- Biztonsági riasztások és incidenskezelési egyeztetések
- Szerződések, szellemi tulajdon és üzletileg érzékeny mellékletek
A postaládákhoz való hozzáférés emellett rendkívül hatékony megszemélyesítési csatornát biztosít. Ha a támadó egy valódi vezető, pénzügyi alkalmazott vagy más megbízható belső felhasználó fiókjából küld üzenetet, megkerülheti a hagyományos adathalászathoz kapcsolódó számos figyelmeztető jelet.
A címzett a várt e-mail-címet, érvényes vállalati domaint és valódi beszélgetési előzményeket láthatja. A támadók tanulmányozhatják a meglévő levélváltásokat, majd csalárd fizetési utasításokat, rosszindulatú hivatkozásokat vagy hitelesítő adatokat kérő üzeneteket illeszthetnek az egyébként legitim beszélgetésekbe.
Ez üzleti e-mail-kompromittálásra, bérfizetési csalásra, beszállítói kifizetések eltérítésére és rendkívül célzott social engineering támadásokra is lehetőséget teremt.
Egy Exchange-kompromittálás az incidenskezelést is alááshatja. A biztonsági csapat postaládáihoz hozzáférő támadók megfigyelhetik a vizsgálatot, megismerhetik az elszigetelési terveket, és megtudhatják, milyen indikátorokat fedeztek már fel a védelmi szakemberek. Törölhetik vagy átirányíthatják a figyelmeztetéseket, illetve postafiókszabályok segítségével rejthetik el a rosszindulatú tevékenységet.
Ha magát az Exchange-kiszolgálót operációsrendszer-szinten kompromittálják, a támadó tartós jelenlétet alakíthat ki a szervezeten belül. Ebből kiindulva az ellopott szolgáltatási hitelesítő adatok, az Active Directory-hozzáférés és a más rendszerekkel fennálló megbízható kapcsolatok oldalirányú mozgást is támogathatnak.
Az Exchange továbbra is kiemelt célpont
A helyben telepített Exchange az elmúlt évek egyik legintenzívebben támadott vállalati platformja volt.
A 2021-es ProxyLogon-kampány megmutatta, milyen gyorsan válhat tömegessé az Exchange-sérülékenységek kihasználása. A támadók nagy számban kompromittálták a kiszolgálókat, web shelleket telepítettek és tartós hozzáférést alakítottak ki, még mielőtt számos szervezetnek lehetősége lett volna telepíteni a frissítéseket.
A későbbi sérülékenységcsaládok – köztük a ProxyShell, a ProxyNotShell és a ProxyToken – további gyengeségeket tártak fel az Exchange hitelesítési, jogosultságkezelési és kérésfeldolgozási architektúrájában.
A CISA Known Exploited Vulnerabilities Catalog számos olyan Exchange Server-hibát tartalmaz, amelynek valós támadásokban történő kihasználását már megfigyelték. Ezek közül többet zsarolóvírusos tevékenységgel is összefüggésbe hoztak.
Ez az előzmény különösen vonzó célponttá teszi az internet felől elérhető Exchange-kiszolgálókat. Egy átlagos munkaállomással ellentétben az Exchange rendszerint folyamatosan működik, kiszámítható végpontokon keresztül érhető el, és a szervezet legérzékenyebb kommunikációját kezelik rajta. Emellett széles körű hozzáféréssel rendelkezhet az identitáskezelési infrastruktúrához is.
A támadóknak nem feltétlenül kell előre tudniuk, melyik szervezethez tartozik egy kiszolgáló. Automatizált vizsgálatokkal azonosíthatják az Exchange-végpontokat, következtethetnek a használt szoftververziókra, majd nagy mennyiségben indíthatnak támadásokat.
A rendszer kompromittálása után később is felmérhetik az áldozat személyazonosságát és stratégiai értékét.
A régebbi Exchange-telepítések támogatási időszaka gyorsan szűkül
A kitettség különösen nehéz átmeneti időszakban jelentkezett az Exchange Server 2016 és az Exchange Server 2019 rendszereket továbbra is üzemeltető szervezetek számára.
Mindkét termék normál támogatása 2025. október 14-én véget ért. A Microsoft ezt követően egy ideiglenes Extended Security Update, vagyis ESU-programon keresztül továbbra is elérhetővé tette a biztonsági javításokat a programban részt vevő ügyfeleknek.
A második ESU-időszak 2026 májusában kezdődött, és a tervek szerint 2026. október végén ér véget. A Microsoft tájékoztatása szerint ezt követően az Exchange 2016 és 2019 biztonsági frissítései már ezen a programon keresztül sem lesznek elérhetők.
A CVE-2026-62911-et javító augusztusi frissítéseket tehát az ESU-programra jogosult ügyfelek megkaphatják, ez azonban csak rövid távú átmeneti megoldást jelent, nem pedig állandó támogatási stratégiát.
Az ESU-lefedettség nélkül régebbi termékeket üzemeltető szervezetek a szokásos frissítési folyamaton keresztül nem feltétlenül tudják beszerezni a szükséges javításokat. Az NCSC-NL azt tanácsolta ezeknek a szervezeteknek, hogy korlátozzák az érintett kiszolgálók elérését a belső hálózatra, és ahol lehetséges, váltsák le őket.
A Microsoft jelenleg támogatott helyi utódplatformja az Exchange Server Subscription Edition. A szabályozási, működési és adatlokalizációs követelményektől függően a szervezetek postaládáikat és kapcsolódó szolgáltatásaikat a Microsoft 365 rendszerébe is áttelepíthetik.
A migráció ritkán hajtható végre egyszerű vészhelyzeti intézkedésként. Az Exchange-környezetek régi alkalmazásokat, hibrid identitáskezelést, levéltovábbító szolgáltatásokat, megfelelőségi archívumokat és egyedi integrációkat is kiszolgálhatnak. Az ESU-lefedettség közelgő megszűnése miatt azonban a szervezeteknek a migrációt nem választható modernizációs projektként, hanem biztonsági határidőként kell kezelniük.
Mit kell tenniük most az Exchange-adminisztrátoroknak?
A szervezeteknek először azonosítaniuk kell a környezetükben működő összes Exchange-kiszolgálót. Ebbe azok a rendszerek is beletartoznak, amelyek már nem tárolnak aktív felhasználói postaládákat, de továbbra is használatban vannak felügyeleti feladatokhoz, levéltovábbításhoz, hibrid kapcsolatokhoz vagy régi alkalmazások kiszolgálásához.
Az adminisztrátoroknak ellenőrizniük kell az Exchange pontos verzióját, a telepített kumulatív frissítés szintjét, valamint a 2026. augusztusi biztonsági frissítés meglétét. A Microsoft Exchange buildszámokat tartalmazó dokumentációja segítségével össze lehet hasonlítani a telepített verziókat a javított kiadásokkal.
A frissítést a dokumentált Exchange-karbantartási folyamat szerint kell telepíteni. Az adminisztrátoroknak azt is ellenőrizniük kell, hogy a telepítés minden egyes kiszolgálón sikeresen befejeződött-e. Nem elegendő pusztán a frissítőcsomag jelenlétére vagy egy látszólag sikeres központi telepítési feladatra hagyatkozni.
Át kell tekinteni a Microsoft augusztusi Exchange-kiadási megjegyzéseit az előfeltételek, ismert problémák és telepítés utáni követelmények megismeréséhez. A vállalat közlése szerint a 2026. augusztusi biztonsági frissítéssel kezdődően letiltották az OWA Light funkciót. A Microsoft azt tanácsolta azoknak az ügyfeleknek, akik nem tudják telepíteni a frissítést, hogy egy kapcsolódó probléma ideiglenes mérséklése érdekében maguk is tiltsák le ezt a funkciót.
Az ilyen kockázatcsökkentő intézkedéseket azonban nem szabad a CVE-2026-62911 biztonsági frissítésének helyettesítőjeként kezelni, hacsak a Microsoft kifejezetten nem állítja, hogy azok teljes egészében megszüntetik a sérülékenységet.
Az internetes kitettséget szintén csökkenteni kell. Tűzfalakkal, VPN-ekkel, alkalmazásproxykkal vagy más hozzáférés-vezérlési megoldásokkal kell korlátozni azokat az Exchange-adminisztrációs felületeket és szolgáltatásokat, amelyeknek nem kell nyilvánosan elérhetőnek lenniük.
A biztonsági csapatoknak váratlan hitelesítési események, gyanús postaláda-hozzáférések, újonnan létrehozott postafiókszabályok, rendellenes üzenettovábbítás és szokatlan adminisztrátori tevékenység után kell kutatniuk az Exchange- és Windows-naplókban.
Emellett keresniük kell a közelmúltban létrehozott ASPX-fájlokat, web shelleket, ismeretlen ütemezett feladatokat, új szolgáltatásokat, valamint az Exchange vagy az IIS összetevői által elindított, nem megmagyarázható gyermekfolyamatokat.
Kompromittálás gyanúja esetén a frissítés egyszerű telepítése nem elegendő. A javítás megakadályozza a korrigált sérülékenység további kihasználását, de nem távolítja el a kiszolgálón korábban létrehozott tartós hozzáférést, az ellopott hitelesítő adatokat vagy a már telepített kártevőket.
A potenciálisan érintett szervezeteknek meg kell őrizniük a naplókat, ahol működési szempontból lehetséges, el kell különíteniük a kompromittált gépeket, meg kell vizsgálniuk az Active Directoryban történt tevékenységeket, és le kell cserélniük az esetlegesen kiszivárgott hitelesítő adatokat. Különös figyelmet kell fordítani a privilegizált, szolgáltatási és gépfiókok hitelesítő adataira.
Stratégiai következményekkel járó frissítési probléma
A közel 22 000 potenciálisan sebezhető Exchange-kiszolgáló felfedezése jól szemlélteti, mekkora különbség lehet egy biztonsági frissítés kiadása és annak a világ informatikai rendszereiben történő tényleges telepítése között.
Sok szervezet számára azért nehéz az Exchange frissítése, mert a rendszer működési szempontból kritikus. Az adminisztrátoroknak karbantartási időablakokra, biztonsági másolatokra, kompatibilitási tesztekre és visszaállítási tervekre lehet szükségük. Ezek a jogos követelmények késleltethetik a telepítést, különösen az összetett vagy létszámhiánnyal küzdő informatikai környezetekben.
A támadókat azonban egyik ilyen korlátozás sem hátráltatja.
Mivel a technikai információk nyilvánosan hozzáférhetők, és több tízezer rendszer azonosítható az internetről, gyorsan szűkül a megelőző intézkedésekre rendelkezésre álló idő. A bizonyított rosszindulatú kihasználás hiánya ellenére a CVE-2026-62911 több olyan tulajdonságot egyesít, amelyet a védekező szervezeteknek komolyan kell venniük:
- internet felől elérhető vállalati szolgáltatást érint;
- a hitelesítési biztonsági határ hibájára épül;
- SYSTEM-szintű kihasználását már sikeresen bemutatták;
- nyilvános exploitanyag áll rendelkezésre hozzá;
- és nagy számú javítatlan rendszer lehet érintett.
Az Exchange Server 2016 vagy 2019 rendszert üzemeltető szervezeteknek emellett stratégiai döntést is kell hozniuk. Az augusztusi frissítés telepítése kezeli a közvetlen veszélyt, az ESU-program közelgő vége azonban azt jelenti, hogy ugyanezek a szervezetek rövidesen a később felfedezett sérülékenységek javításai nélkül maradhatnak.
A közvetlen prioritás a frissítés telepítése, az internetes kitettség csökkentése és a kompromittálás jeleinek kivizsgálása. Hosszabb távon a még meglévő levelezési infrastruktúrát támogatott platformra kell áttelepíteni az ideiglenes biztonságifrissítés-időszak lezárása előtt.
Kapcsolódó anyag: Microsoft Exchange supportability matrix
