Quasi 22.000 Microsoft Exchange Server esposti online risultano ancora non patchati contro due falle ad alta gravità. La prima, CVE-2026-62911, è un authentication bypass che può portare al controllo di tutte le mailbox servite da un server; la seconda, CVE-2026-42897, resta aperta oltre la scadenza fissata da CISA per la bonifica federale.
Il punto non è la singola casella compromessa. Se un attaccante supera una volta il controllo di accesso del server, Exchange lo tratta come un utente già autenticato e gli apre il resto delle mailbox. In pratica, le difese centrate sul singolo account o sulla singola mailbox possono apparire pulite mentre il livello mail del tenant è già sotto controllo.
Per chi espone Exchange su Internet, il rischio non è limitato a un account rubato: il gatekeeper stesso diventa il punto di presa. Questa è la stessa classe di fallimento che sposta la compromissione da un utente all’intera posta servita dal server.