85 procent niemieckich serwerów Exchange wciąż otwartych

Poprawka, która wyglądała na koniec zadania

Osoba odpowiedzialna za IT w średniej wielkości niemieckiej firmie logistycznej zainstalowala sierpniowa aktualizacje zabezpieczeń Microsoft na własnym serwerze Exchange on-premises w tygodniu jej wydania, zamknęła zgłoszenie i przeszła do kolejnego punktu na liście. Dokładnie ten instynkt, że jednorazowe załatanie rozwiązuje ryzyko, przeczą liczby opublikowane w tym tygodniu. 31 sierpnia 2026 roku, trzy pełne tygodnie po tym, jak Microsoft ujawnil CVE-2026-62911 i wydał poprawkę, grupa badawcza Shadowserver naliczyła na świecie 21899 dostępnych z internetu serwerów Exchange wciąż uruchamiających podatny kod.

Osoba odpowiedzialna za IT w tym przykładzie załatała serwer. Problemem nigdy nie byli ludzie tacy jak ona. Są nim dziesiatki tysiecy serwerów, ktorych nikt nie załatał, oraz fakt, że jej własny załatany serwer stoi w tym samym internecie co każdy z nich.

Co CVE-2026-62911 naprawdę robi

CVE-2026-62911 to błąd obejścia uwierzytelniania poprzez przechwycenie i odtworzenie ruchu, sklasyfikowany jako CWE-294, z oceną CVSS 8,0. Microsoft ujawnil go 11 sierpnia 2026 roku, wyjaśniając, że pozwala napastnikowi zdolnemu przechwycić i odtworzyć ruch uwierzytelniający podszyć się pod legalnego użytkownika Exchange i eskalować uprawnienia na serwerze. Microsoft wydał poprawkę tego samego dnia, w ktorym ujawnil błąd. Holenderskie narodowe centrum cyberbezpieczeństwa, NCSC-NL, poinformowało w kolejnym tygodniu, że publiczny kod exploita dla tej podatności już krąży, co usuwa ostatnią praktyczną wymówkę dla traktowania tego jako aktualizacji o niskim priorytecie.

Narazenie w liczbach

Shadowserver prowadzi teraz codzienne skanowanie w skali calego internetu i publikuje Vulnerable Exchange Server Report, właśnie po to, by narodowe zespoły reagowania na incydenty komputerowe mogły śledzić niezałatane systemy we własnej jurysdykcji. Zestawienie z 31 sierpnia 2026 roku wygląda tak:

Liczba dla Niemiec to nie błąd zaokrąglenia. To drugie najwyższe narażenie narodowe na świecie, trzy tygodnie po tym, jak poprawka już istniala.

Dlaczego przy niemieckiej liczbie warto się zatrzymać

Niemiecki federalny urząd ds. bezpieczenstwa informacji, BSI, podał własną liczbę dla tego samego problemu: około 85 procent niemieckich serwerów Exchange on-premises pozostaje podatnych na CVE-2026-62911. To nie 85 procent serwerów, które przypadkiem są niemieckie; to 85 procent calej niemieckiej floty Exchange on-premises, która wciąż uruchamia możliwy do wykorzystania kod, a liczbę publikuje własną niemiecka agencja bezpieczenstwa narodowego. Dla kazdej organizacji podlegającej obowiązkom zgłaszania incydentów i należytej staranności wynikającym z NIS2, serwer Exchange skompromitowany przez poprawkę, która jest publiczna od trzech tygodni, to trudną rozmowa z regulatorem, ponieważ argument, że podatność byla nieznana lub niemożliwa do załatania, tutaj nie ma zastosowania. Poprawka istnieje. Większość floty jej nie zainstalowala.

Co sprawdzić, zanim zamkniecie te kartę

Organizacja prowadząca Exchange on-premises powinna potraktować to jako kontrolę na dziś, a nie zaległy punkt: potwierdźcie, że aktualizacja zabezpieczeń z 11 sierpnia 2026 roku jest zainstalowana na każdym pojedynczym serwerze Exchange on-premises, nie tylko na tych, które według dziennika zmian zostały dotknięte, ponieważ to właśnie w środowiskach z wieloma serwerami poprawka po cichu pomija jedną maszynę. Tam, gdzie aktualizacji nie można zastosować od razu, ograniczcie w międzyczasie zewnętrzny dostęp do interfejsów zarządzania Exchange i monitorujcie dzienniki uwierzytelniania pod kątem anomalii typu powtórzenie. A bieżące codzienne zestawienie Shadowserver, a nie nagłówek z tego tygodnia, traktujcie jako to, co trzeba sprawdzić ponownie w przyszłym miesiącu, ponieważ tak wysoka liczba trzy tygodnie po fakcie nie naprawia się sama.

Servola Journal

Robimy to dla wszystkich, którzy starają się nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, którym się to przydarza. Servola Journal istnieje, aby to, czego się uczymy, należało do nich wszystkich.

Nikt nam za to nie płaci. Żadnych reklam, żadnego muru płatności, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo stać na zapłacenie za to.

Jeśli to dało ci dziś coś, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie, albo napisz pozytywny komentarz. Czytamy każdy jeden, i to oni sprawiają, że działamy dalej.

Czytaj dalej: Ransomware Gunra wykorzystuje luki Fortinet z 2025 roku  |  Twoje starsze Maki wymagały siedmiu podejść