Uma falha crítica no Microsoft Exchange continua aberta em cerca de 22 mil servidores conectados à internet, mesmo com a correção disponível desde agosto. O número vem do monitoramento da fundação Shadowserver, que varre a rede em busca de sistemas expostos, e mostra o velho problema da segurança corporativa: o patch existe, mas ninguém aplicou.
A vulnerabilidade recebeu o identificador CVE-2026-62911 e foi encontrada por Orange Tsai, pesquisador da equipe DEVCORE — nome conhecido de quem acompanha o assunto, já que ele esteve por trás de outras brechas históricas no mesmo produto. O impacto é do tipo que não admite meio-termo: a exploração permite ao invasor assumir controle total das caixas de correio hospedadas no servidor, o que na prática significa ler, enviar e apagar mensagens de toda a organização.
São afetadas as versões Exchange Server 2016, Exchange Server 2019 e a Subscription Edition (SE). A orientação da Microsoft não tem sutileza: instalar as atualizações o quanto antes. A distribuição geográfica dos servidores desprotegidos ajuda a dimensionar o problema — os Estados Unidos concentram cerca de 6,2 mil máquinas e a Alemanha outras 5,1 mil, sinal de que a exposição está em empresas de todos os portes, não em casos isolados.
Há um agravante de calendário. As atualizações estendidas para o Exchange 2016 e 2019 se encerram em outubro de 2026, o que significa que quem ficar nessas versões deixa de receber correções pouco depois desta. Para as empresas que ainda mantêm servidor de e-mail próprio, a decisão não é mais só sobre aplicar um patch: é sobre migrar para a Subscription Edition ou para a nuvem antes que o suporte acabe.
O e-mail corporativo continua sendo o alvo preferido de quem faz fraude financeira, e por um motivo simples: quem controla a caixa de entrada consegue interceptar boletos, redirecionar pagamentos e se passar pela diretoria com credibilidade total. No Brasil, onde muita empresa de médio porte ainda opera Exchange local herdado de anos atrás, vale a checagem imediata — a janela entre a divulgação de uma falha desse tipo e a exploração em massa costuma ser medida em dias.
