85 procent niemieckich serwerów Exchange wciąż otwartych

Poprawka, która wyglądała na koniec zadania

Osoba odpowiedzialna za IT w średniej wielkości niemieckiej firmie logistycznej zainstalowala sierpniowa aktualizacje zabezpieczeń Microsoft na własnym serwerze Exchange on-premises w tygodniu jej wydania, zamknęła zgłoszenie i przeszła do kolejnego punktu na liście. Dokładnie ten instynkt, że jednorazowe załatanie rozwiązuje ryzyko, przeczą liczby opublikowane w tym tygodniu. 31 sierpnia 2026 roku, trzy pełne tygodnie po tym, jak Microsoft ujawnił CVE-2026-62911 i wydał poprawkę, grupa badawcza Shadowserver naliczyła na świecie 21899 dostępnych z internetu serwerów Exchange wciąż uruchamiających podatny kod.

Osoba odpowiedzialna za IT w tym przykładzie załatała serwer. Problemem nigdy nie byli ludzie tacy jak ona. Są nim dziesiątki tysięcy serwerów, których nikt nie załatał, oraz fakt, że jej własny załatany serwer stoi w tym samym internecie co każdy z nich.

Co CVE-2026-62911 naprawdę robi

CVE-2026-62911 to błąd obejścia uwierzytelniania poprzez przechwycenie i odtworzenie ruchu, sklasyfikowany jako CWE-294, z oceną CVSS 8,0. Microsoft ujawnił go 11 sierpnia 2026 roku, wyjaśniając, że pozwala napastnikowi zdolnemu przechwycić i odtworzyć ruch uwierzytelniający podszyć się pod legalnego użytkownika Exchange i eskalować uprawnienia na serwerze. Microsoft wydał poprawkę tego samego dnia, w którym ujawnił błąd. Holenderskie narodowe centrum cyberbezpieczeństwa, NCSC-NL, poinformowało w kolejnym tygodniu, że publiczny kod exploita dla tej podatności już krąży, co usuwa ostatnią praktyczną wymówkę dla traktowania tego jako aktualizacji o niskim priorytecie.

Narażenie w liczbach

Shadowserver prowadzi teraz codzienne skanowanie w skali całego internetu i publikuje Vulnerable Exchange Server Report, właśnie po to, by narodowe zespoły reagowania na incydenty komputerowe mogły śledzić niezałatane systemy we własnej jurysdykcji. Zestawienie z 31 sierpnia 2026 roku wygląda tak:

Liczba dla Niemiec to nie błąd zaokrąglenia. To drugie najwyższe narażenie narodowe na świecie, trzy tygodnie po tym, jak poprawka już istniała.

Dlaczego przy niemieckiej liczbie warto się zatrzymać

Niemiecki federalny urząd ds. bezpieczeństwa informacji, BSI, podał własną liczbę dla tego samego problemu: około 85 procent niemieckich serwerów Exchange on-premises pozostaje podatnych na CVE-2026-62911. To nie 85 procent serwerów, które przypadkiem są niemieckie; to 85 procent calej niemieckiej floty Exchange on-premises, która wciąż uruchamia możliwy do wykorzystania kod, a liczbę publikuje własna niemiecka agencja bezpieczeństwa narodowego. Dla kazdej organizacji podlegającej obowiązkom zgłaszania incydentów i należytej staranności wynikającym z NIS2, serwer Exchange skompromitowany przez poprawkę, która jest publiczna od trzech tygodni, to trudna rozmowa z regulatorem, ponieważ argument, że podatność była nieznana lub niemożliwa do załatania, tutaj nie ma zastosowania. Poprawka istnieje. Większość floty jej nie zainstalowała.

Co sprawdzić, zanim zamkniecie te kartę

Organizacja prowadząca Exchange on-premises powinna potraktować to jako kontrolę na dziś, a nie zaległy punkt: potwierdźcie, że aktualizacja zabezpieczeń z 11 sierpnia 2026 roku jest zainstalowana na każdym pojedynczym serwerze Exchange on-premises, nie tylko na tych, które według dziennika zmian zostały dotknięte, ponieważ to właśnie w środowiskach z wieloma serwerami poprawka po cichu pomija jedną maszynę. Tam, gdzie aktualizacji nie można zastosować od razu, ograniczcie w międzyczasie zewnętrzny dostęp do interfejsów zarządzania Exchange i monitorujcie dzienniki uwierzytelniania pod kątem anomalii typu powtórzenie. A bieżące codzienne zestawienie Shadowserver, a nie nagłówek z tego tygodnia, traktujcie jako to, co trzeba sprawdzić ponownie w przyszłym miesiącu, ponieważ tak wysoka liczba trzy tygodnie po fakcie nie naprawia się sama.

Czytaj dalej: Agenty OpenAI zamieniły niemiecką wiki w własną tablicę  |  Trzej dostawcy, jeden tydzień, ta sama luka łataniowa