L'85% dei server Exchange tedeschi è ancora aperto

La patch che sembrava la fine del compito

Un responsabile IT di un'azienda logistica tedesca di medie dimensioni ha applicato l'aggiornamento di sicurezza di agosto di Microsoft al server Exchange on-premises aziendale nella settimana del rilascio, ha chiuso il ticket ed è passato al punto successivo dell'elenco. Proprio quell'istinto, pensare che patchare una volta risolva il rischio, è ciò che smentiscono i numeri pubblicati questa settimana. Il 31 agosto 2026, tre settimane intere dopo che Microsoft aveva reso nota CVE-2026-62911 e rilasciato una correzione, il gruppo di ricerca sulla sicurezza Shadowserver ha contato 21.899 server Exchange esposti a internet nel mondo che eseguivano ancora il codice vulnerabile.

Il responsabile IT di questo esempio ha applicato la patch. Il problema non è mai stato le persone come lui. Sono le decine di migliaia di server che nessuno ha aggiornato, e il fatto che il suo server aggiornato condivide lo stesso internet con ognuno di essi.

Cosa fa davvero CVE-2026-62911

CVE-2026-62911 è una falla di bypass dell'autenticazione tramite cattura e riproduzione, catalogata come CWE-294, con un punteggio CVSS di 8.0. Microsoft l'ha resa nota l'11 agosto 2026, spiegando che permette a un aggressore capace di catturare e riprodurre il traffico di autenticazione di impersonare un utente Exchange legittimo ed elevare i privilegi sul server. Microsoft ha rilasciato una patch lo stesso giorno in cui ha reso nota la falla. Il centro nazionale di sicurezza informatica olandese NCSC-NL ha riferito la settimana successiva che circolava già codice di exploit pubblico per la vulnerabilità, il che elimina l'ultima scusa pratica per trattarla come un aggiornamento a bassa urgenza.

L'esposizione, in numeri

Shadowserver esegue ora una scansione quotidiana su scala internet e pubblica un Vulnerable Exchange Server Report proprio perché i team nazionali di risposta alle emergenze informatiche possano seguire i sistemi non aggiornati nella propria giurisdizione. Il conteggio del 31 agosto 2026 si suddivide così:

Il numero della Germania non è un errore di arrotondamento. È la seconda esposizione nazionale più alta al mondo, tre settimane dopo che la patch esisteva.

Perché il numero tedesco merita attenzione

L'Ufficio federale tedesco per la sicurezza informatica, la BSI, ha dato il proprio numero sullo stesso problema: circa l'85% dei server Exchange on-premises tedeschi resta vulnerabile a CVE-2026-62911. Non è l'85% di server che risultano essere tedeschi; è l'85% dell'intera flotta Exchange on-premises tedesca che esegue ancora codice sfruttabile, e il numero lo pubblica la stessa agenzia di sicurezza nazionale tedesca. Per qualsiasi organizzazione soggetta agli obblighi di notifica degli incidenti e di dovuta diligenza della NIS2, un server Exchange compromesso tramite una patch pubblica da tre settimane e una conversazione difficile da avere con un regolatore, perché l'argomento secondo cui la vulnerabilità era sconosciuta o non correggibile non si applica qui. La patch esiste. La maggior parte della flotta non l'ha installata.

Cosa verificare prima di chiudere questa scheda

Un'organizzazione che gestisce Exchange on-premises dovrebbe trattare questo come un controllo da fare in giornata, non come un arretrato: confermate che l'aggiornamento di sicurezza dell'11 agosto 2026 sia installato su ogni singolo server Exchange on-premises, non solo su quelli che un registro modifiche dice essere stati toccati, perché è proprio negli ambienti con più server che una patch manca silenziosamente una macchina. Dove l'aggiornamento non possa essere applicato subito, limitate nel frattempo l'accesso esterno alle interfacce di gestione di Exchange e monitorate i log di autenticazione per anomalie in stile replay. E trattate il conteggio quotidiano continuo di Shadowserver, non il titolo di questa settimana, come ciò che dovete ricontrollare il mese prossimo, perché un numero così alto tre settimane dopo non si corregge da solo.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.

Da leggere ora: Il Ransomware Gunra Sfrutta Falle Fortinet del 2025  |  I Mac più vecchi hanno richiesto sette tentativi