Microsoft a corrigé CVE-2026-62911 dans ses mises à jour de sécurité Exchange d’août 2026. Le 28 août, le NCSC néerlandais a signalé qu’un code de preuve de concept circulait et décrit un scénario d’exécution de code à distance sans authentification sur les versions Exchange Server vulnérables. Il précise qu’un attaquant pourrait ainsi accéder aux boîtes et poursuivre son attaque dans le réseau.
Les sources ne formulent pas le prérequis de la même façon : Microsoft classe la faille comme un contournement d’authentification par capture-rejeu, tandis que le NCSC décrit une exploitation sans authentification. Au 31 août, Shadowserver avait repéré 21 899 adresses IP présentant une empreinte Exchange et toujours exposées sans correctif, selon le relevé rapporté le 1er septembre. Ce chiffre est un instantané daté, pas un décompte actuel.
Une boîte mail est aussi un coffre d'accès
Le relevé du 31 août portait sur 21 899 adresses IP exposées, et non sur autant d'organisations distinctes. CVE-2026-62911 concerne Exchange Server 2016, Exchange Server 2019 et Exchange Server Subscription Edition. Le NCSC néerlandais indique qu'un attaquant non authentifié peut exécuter du code à distance; Microsoft décrit la faille comme un contournement d'authentification par capture-rejeu. Dans les deux cas, un serveur vulnérable accessible par l'attaquant peut ouvrir la voie aux boîtes de l'organisation.
Le NCSC rappelle qu’Exchange Server 2016 et 2019 sont en fin de support et ne reçoivent des mises à jour de sécurité que dans le cadre du programme ESU. Pour les serveurs qui n’en bénéficient pas, il recommande de limiter l’accès au réseau interne et de planifier leur retrait. Le risque dépasse la confidentialité des messages : une boîte mail contient souvent des liens de réinitialisation, des pièces jointes, des échanges fournisseurs et des preuves d'identité, et peut ensuite servir à modifier d'autres comptes.
Pourquoi le mot de passe n'est pas toute l'histoire
Un mot de passe protège une étape de connexion. Il ne corrige pas une vulnérabilité du serveur, ne révoque pas une session déjà créée et n'empêche pas une règle de transfert frauduleuse. Une attaque peut donc contourner ou dépasser la connexion plutôt que deviner le secret. Pour réduire séparément les risques d’usurpation par messagerie, consultez notre article sur la fraude au président et le BEC.
Pour une petite équipe, les priorités sont concrètes : connaître la version et l'exposition de chaque serveur, appliquer les correctifs, réduire les accès d'administration et surveiller les changements de règles, de délégation et de transfert. La politique de mots de passe pour PME aide à formaliser les secrets uniques, les accès et la MFA sans confondre ces mesures avec la mise à jour du serveur.
La checklist après correction
- Confirmer que le correctif est appliqué sur tous les serveurs concernés, y compris les environnements oubliés.
- Vérifier les connexions inhabituelles, les élévations et les accès aux boîtes sensibles.
- Rechercher les règles de transfert externe et les délégations ajoutées récemment.
- Révoquer les sessions et remplacer les secrets si les journaux ne permettent pas d'exclure une compromission.
- Activer une MFA résistante au phishing pour les comptes critiques et séparer les comptes administrateur des comptes de travail.
Le rôle d'un coffre local-first
Soclyde ne protège pas le serveur Exchange et ne remplace pas son correctif. Il aide l'équipe à éviter une deuxième erreur : conserver les mots de passe administrateur, les codes de récupération et les accès fournisseurs dans un fichier partagé ou dans la boîte mail elle-même.
Un secret unique, généré puis conservé dans un coffre chiffré local, rend la rotation praticable après un incident. Le guide Soclyde sur l'audit d'un gestionnaire de mots de passe aide à vérifier où ces secrets sont stockés et qui peut y accéder.
À retenir
La sécurité d'une messagerie combine correctifs, réduction des privilèges, surveillance des sessions et secrets uniques. Corriger Exchange est indispensable ; savoir quoi révoquer et où retrouver les accès de remplacement l'est tout autant. Pour évaluer le stockage des accès administrateur et de secours, utilisez notre guide d’audit d’un gestionnaire de mots de passe.
