CVE-2026-62911 : 22 000 serveurs Exchange non patchés

Les faits

Le 31 août 2026, la Shadowserver Foundation publiait ses scans internet quotidiens : exactement 21 899 adresses IP uniques hébergeaient encore des serveurs Microsoft Exchange vulnérables à CVE-2026-62911, une faille d'authentification critique classée CWE-294 (Authentication Bypass by Capture-Replay). Le correctif était pourtant disponible depuis plusieurs semaines — mais comme trop souvent avec Exchange on-premise, l'application des patchs traîne, et cette fois l'exposition se paie cash.

CVE-2026-62911 tire son origine d'un défaut dans la gestion des mécanismes d'authentification NTLM au sein de l'interface WCF (Windows Communication Foundation) exposée par Exchange Server. Un attaquant positionné sur le réseau peut intercepter des échanges d'authentification NTLM légitimes, les rejouer auprès du service WCF, et obtenir un accès de niveau administrateur sans disposer de credentials valides au départ.

Le 1er septembre 2026, un proof-of-concept fonctionnel a été publié publiquement. Ce PoC implémente la chaîne complète : capture NTLM, replay vers le service WCF, écriture de fichier arbitraire via l'API Exchange, aboutissant à une exécution de code à distance. Selon les auteurs du PoC, la séquence s'exécute en moins de cinq minutes depuis n'importe quel accès réseau vers Exchange, sans nécessiter de credentials préalables.

Les versions affectées couvrent l'intégralité de la gamme Exchange on-premise encore en déploiement : Exchange Server 2016, Exchange Server 2019, et Exchange Server Subscription Edition (SE). Exchange Online (Microsoft 365) n'est pas concerné — seuls les déploiements on-premise sont exposés. Or Exchange reste massivement déployé on-premise dans les entreprises françaises et européennes, notamment dans les administrations, les collectivités et les ETI qui ont retardé leur migration vers le cloud.

La faille avait initialement été catégorisée par Microsoft comme nécessitant un attaquant authentifié avec des privilèges bas pour élever ses droits — ce qui aurait limité l'impact. Mais les chercheurs en sécurité ont rapidement démontré que le vecteur d'attaque réel permettait de contourner totalement cette exigence d'authentification initiale via la technique de capture-replay NTLM, transformant effectivement CVE-2026-62911 en pré-authentification RCE. C'est un scénario déjà vu avec ProxyLogon (CVE-2021-26855) : la sévérité réelle dépasse l'évaluation initiale de Microsoft.

La CISA n'avait pas encore ajouté CVE-2026-62911 à son catalogue KEV au moment de la rédaction, mais l'existence d'un PoC fonctionnel public rend l'exploitation à grande échelle imminente. Historiquement, le délai entre publication d'un PoC Exchange et premières exploitations observées en masse est de 24 à 72 heures.

Ce type de vulnérabilité sur Exchange n'est pas inédit. ProxyLogon, ProxyShell, ProxyNotShell, CVE-2024-21410 — la liste des failles critiques Exchange ayant généré des vagues d'exploitation massive est longue. À chaque fois, la même problématique : des serveurs accessibles depuis Internet, des patchs disponibles, et des administrateurs qui tardent à les appliquer. CVE-2026-62911 suit le même schéma, avec en prime un PoC public immédiatement disponible qui abaisse drastiquement la barrière d'entrée pour les attaquants.

Les acteurs ransomware et les groupes APT ont historiquement fait d'Exchange une cible de choix pour établir une persistance initiale dans les réseaux d'entreprise. La messagerie est un pivot idéal : exposée sur Internet, elle contient des informations sensibles, et compromettre Exchange donne généralement accès à l'Active Directory sous-jacent. Dans ce contexte, CVE-2026-62911 représente un risque d'exploitation par des opérateurs ransomware dans les prochains jours.

Impact et exposition

Sont directement exposées toutes les organisations hébergeant Microsoft Exchange Server 2016, 2019 ou SE en mode on-premise avec le service accessible depuis Internet ou des segments réseau non contrôlés. La condition d'exploitation est simple : un accès TCP au port 443 du serveur Exchange suffit. Pas besoin de credentials ni de compte Active Directory. L'impact d'une compromission inclut : accès à l'intégralité des boîtes mail, mouvement latéral vers l'Active Directory, déploiement de backdoors, exfiltration de données, et potentiellement déploiement de ransomware sur l'infrastructure complète.

Recommandations

• Patcher immédiatement : appliquer le correctif Microsoft pour CVE-2026-62911 sur toutes les instances Exchange Server 2016, 2019 et SE sans attendre la prochaine fenêtre de maintenance.
• Vérifier l'exposition Internet : auditer les serveurs Exchange exposés sur Internet. Identifier les versions non patchées et les restreindre en urgence.
• Restreindre l'accès réseau : si le patch ne peut être appliqué immédiatement, mettre en place des restrictions WAF/pare-feu pour limiter les connexions aux sources légitimes uniquement.
• Surveiller les anomalies d'authentification : activer la journalisation détaillée des connexions Exchange et surveiller les tentatives de relay NTLM et les accès WCF inhabituels.
• Évaluer la migration vers Exchange Online : cet incident est l'occasion de réexaminer le maintien d'Exchange on-premise et d'accélérer une migration vers Microsoft 365.