Exchange CVE-2026-62911 : 21 899 serveurs exposés non patchés, du code d’exploit circule déjà

> En bref : CVE-2026-62911 est un contournement d'authentification par capture-replay dans Exchange Server, corrigé au Patch Tuesday d'août 2026 et rapporté par Orange Tsai (DEVCORE Research Team). Un attaquant disposant de privilèges de base sur le serveur cible, avec interaction utilisateur, peut élever ses privilèges et « prendre le contrôle des boîtes aux lettres de tous les utilisateurs Exchange : envoyer des emails, lire des emails, télécharger les pièces jointes », selon Microsoft. Le NCSC néerlandais a signalé fin août que du code d'exploit circule déjà en ligne. Mardi, Shadowserver comptait 21 899 adresses IP exposant un Exchange non patché — dont environ 6 200 aux États-Unis et 5 100 en Allemagne.

La faille et son contexte

Exchange Server 2016, 2019 et Subscription Edition (SE) sont concernés. La faille a été corrigée le 11 août lors du Patch Tuesday — les serveurs à jour sont protégés. Le problème est l'état du parc : près de 22 000 serveurs fingerprintés comme Exchange restent exposés et non patchés trois semaines après, alors même que le NCSC-NL recommande d'installer les mises à jour « dès que possible » et que le code d'exploit est disponible publiquement. Microsoft n'a pas encore fait évoluer l'advisory vers une exploitation confirmée en conditions réelles, mais la combinaison exploit public + parc massivement non patché a rarement fini sans incident sur cette plateforme.

Deux rappels de calendrier aggravent le tableau. D'une part, Exchange 2016 et 2019 ne reçoivent plus leurs correctifs de sécurité que via le programme Extended Security Updates (ESU), qui s'arrête en octobre 2026 : les serveurs concernés doivent être remplacés ou isolés. D'autre part, l'historique de la plateforme presse : depuis novembre 2021, le CISA a ajouté 20 vulnérabilités Exchange à son catalogue des failles activement exploitées, dont 14 associées à des attaques par ransomware. La précédente en date, CVE-2026-42897 (XSS sur Outlook Web Access, corrigée en juin), a été exploitée en attaques réelles et ajoutée au KEV mi-mai.

Pourquoi ça vous concerne

La boîte mail reste le sésame de presque tous vos autres comptes. Un attaquant qui lit la messagerie d'une organisation intercepte les liens de réinitialisation de mot de passe de vos SaaS (CRM, SIRH, outils de paie), les pièces jointes sensibles et les échanges en cours. Pour un éditeur SaaS RH ou paie dont les clients opèrent encore des Exchange on-premise — situation fréquente dans les PME et ETI françaises gérées via des MSP — la compromission d'un seul serveur Exchange chez un client peut devenir une attaque sur votre propre chaîne : réinitialisation d'un compte admin chez vous via l'email intercepté, extraction de données salariés, usurpation d'identité en aval. C'est exactement le type de risque en cascade qu'un audit de surface d'authentification cherche à couper.

Ce qu'il faut faire

La leçon plus large

Vingt vulnérabilités Exchange dans le KEV en cinq ans, quatorze liées à des ransomwares, et pourtant des dizaines de milliers de serveurs restent exposés non patchés des semaines après chaque correctif. Le constat est ancien mais la semaine le rappelle : la fenêtre entre divulgation et exploitation ne se mesure pas en mois mais en jours, et la surface on-premise héritée est celle qui bouge le plus lentement. Si votre organisation (ou vos clients) exploite encore du Exchange auto-hébergé, la question n'est pas « faut-il patcher » mais « quel plan de sortie vers une messagerie gérée, ou vers Exchange SE tenu à jour, met-on en œuvre ce trimestre ».