Cerca de 22.000 servidores Microsoft Exchange expuestos en Internet siguen sin parchear contra una vulnerabilidad de severidad alta que permite a los atacantes tomar el control de todas las bandejas de entrada de una organización. La falla, identificada como CVE-2026-62911, afecta a Exchange Server 2016, 2019 y la edición Subscription Edition (SE) y puede ser explotada con privilegios básicos en ataques de baja complejidad que requieren interacción del usuario.
El problema es tan grave que, según Microsoft, un atacante con acceso a la red podría “apoderarse de las bandejas de entrada de todos los usuarios de Exchange, enviar correos electrónicos, leer mensajes y descargar archivos adjuntos”.
La vulnerabilidad fue parcheada durante el Patch Tuesday de agosto de 2026, pero los datos de seguimiento de amenazas indican que una parte significativa de los servidores afectados sigue sin protegerse.
El Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL) ya ha advertido de que el código de explotación para esta vulnerabilidad está disponible en línea, lo que convierte la situación en una carrera contrarreloj para los administradores de sistemas.
Una vulnerabilidad que convierte al atacante en dueño del correo
La CVE-2026-62911, reportada por Orange Tsai del equipo DEVCORE Research, permite un “bypass de autenticación por captura y reproducción”. En términos prácticos, un atacante con credenciales de bajo nivel en el servidor puede elevar sus privilegios y suplantar a cualquier usuario de la organización.
Una vez dentro, el atacante puede leer el correo de los directivos, enviar mensajes en nombre de la empresa, descargar documentos confidenciales y, en última instancia, utilizar esa información para extorsionar o lanzar ataques de mayor alcance.
La gravedad de la falla radica en que no requiere conocimientos técnicos avanzados ni herramientas especializadas. Microsoft ha calificado el ataque como de “baja complejidad”, lo que significa que los ciberdelincuentes con habilidades básicas pueden explotarlo una vez que el código de explotación está disponible.
El mapa de la vulnerabilidad: Estados Unidos y Alemania lideran el riesgo
El grupo de vigilancia de amenazas Shadowserver ha identificado 21.899 direcciones IP con servidores Exchange que aún no han aplicado el parche. Estados Unidos encabeza la lista con más de 6.200 servidores expuestos, seguido de Alemania con 5.100.
La Oficina Federal de Seguridad de la Información de Alemania (BSI) ha advertido que aproximadamente el 85% de los servidores Exchange locales en el país siguen siendo vulnerables a esta falla, una cifra que refleja la lentitud con la que muchas organizaciones están aplicando las actualizaciones de seguridad.
La situación es especialmente preocupante porque la CVE-2026-62911 no es la única vulnerabilidad que afecta a Exchange. En junio de 2026, Microsoft parcheó otra falla (CVE-2026-42897) que ya está siendo explotada en ataques de cross-site scripting dirigidos a los usuarios de Outlook Web Access.
La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ya ha incluido esta vulnerabilidad en su catálogo de fallos explotados activamente, dando a las agencias gubernamentales un plazo de dos semanas para aplicar el parche.
Un historial de vulnerabilidades y el fin del soporte
El caso de Exchange Server es un ejemplo de cómo las vulnerabilidades heredadas siguen siendo un riesgo persistente para las organizaciones. Desde noviembre de 2021, CISA ha añadido 20 vulnerabilidades de Exchange a su lista de fallos explotados activamente, 14 de ellas utilizadas en ataques de ransomware.
Este historial ha convertido a Exchange en uno de los objetivos favoritos de los ciberdelincuentes, que saben que muchas organizaciones retrasan la aplicación de parches debido a la complejidad de los entornos de correo.
En octubre de 2026, Microsoft anunció que Exchange Server 2016 y 2019 habían alcanzado el final del soporte, lo que significa que solo recibirán actualizaciones de seguridad a través del programa Extended Security Updates (ESU). Aunque estas actualizaciones dejan de estar disponibles en octubre de 2026, dejando a las organizaciones que no migren a versiones más recientes o a la nube en una situación de riesgo crítico.
Recomendaciones para los administradores
La situación exige una acción inmediata por parte de los administradores de sistemas. Microsoft, el NCSC-NL y la BSI coinciden en que la prioridad número uno es aplicar el parche de seguridad para la CVE-2026-62911 lo antes posible.
Para las organizaciones que utilizan Exchange Server 2016 o 2019, el parche está disponible a través del programa ESU, pero solo hasta octubre de 2026, lo que añade urgencia a la migración a versiones más recientes o a soluciones basadas en la nube.
Además de la actualización, los expertos recomiendan:
- Limitar el acceso a los servidores Exchange solo a redes internas y a direcciones IP confiables.
- Auditar los registros de acceso en busca de actividad sospechosa, especialmente intentos de autenticación fallidos o inicios de sesión desde ubicaciones inusuales.
- Revisar los privilegios de los usuarios para asegurarse de que no existen credenciales de bajo nivel que puedan ser explotadas.
- Considerar la migración a Microsoft 365 o a versiones más recientes de Exchange Server que reciban soporte a largo plazo.
La carrera contrarreloj continúa
La existencia de casi 22.000 servidores Exchange sin parchear es un recordatorio de la brecha entre la publicación de parches y su aplicación real en los entornos de producción. Las organizaciones que retrasan las actualizaciones de seguridad se exponen a un riesgo que puede tener consecuencias devastadoras, desde la pérdida de datos confidenciales hasta el despliegue de ransomware.
El caso de la CVE-2026-62911 demuestra que los atacantes no necesitan vulnerabilidades de día cero para causar daños; a menudo, las fallas ya parcheadas pero sin aplicar son igualmente efectivas. El código de explotación está disponible, los servidores están expuestos y los atacantes están buscando objetivos.
La pregunta no es si habrá otro ataque a gran escala contra Exchange, sino cuándo ocurrirá y a quién afectará. Los administradores tienen la respuesta en sus manos, y el tiempo corre en su contra.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
