A Microsoft corrigiu sete vulnerabilidades no Exchange Server que podem permitir execução remota de código, elevação de privilégios, negação de serviço, falsificação de conteúdo e desvio de mecanismos de segurança.
Entre as mais graves está a CVE-2026-62913, com pontuação CVSS 8,8. A falha envolve um estouro de buffer no heap e pode ser explorada pela rede por um invasor com poucos privilégios, sem interação adicional da vítima.
Uma exploração bem-sucedida pode permitir a execução de código no servidor, abrindo caminho para roubo de caixas de e-mail, instalação de mecanismos de persistência, movimentação lateral e até implantação de ransomware.
A CVE-2026-62911 também merece atenção por permitir contornar controles de autenticação por meio de captura e repetição de informações. A vulnerabilidade foi demonstrada durante o Pwn2Own Berlin e recebeu nota 8,0.
O pacote ainda resolve falhas de elevação de privilégios, incluindo uma vulnerabilidade SSRF, além de um problema de desserialização que pode derrubar o Exchange Server remotamente. Outras brechas permitem falsificar conteúdo exibido aos usuários e ignorar verificações de autorização. Em conjunto, os problemas ampliam as possibilidades de comprometimento após um acesso inicial ao ambiente.
As correções atendem ao Exchange Server Subscription Edition. Exchange Server 2016 e 2019 já estão fora do suporte convencional e recebem os patches somente para organizações inscritas no programa Extended Security Update.
