Açıkta olan 21.899 Exchange sunucusu hâlâ pre-auth RCE zincinine karşı yamalanmamış durumda

Ne oldu

Shadowserver'ın Eylül 2026 tarihli taramalarına dayanan bir dev.to yazısına göre, açık internetten erişilebilen yaklaşık 21.899 Exchange sunucusu, kimlik doğrulaması yapılmamış bir saldırganın SYSTEM ayrıcalıklarıyla kod çalıştırmasına olanak tanıyan bir açığa karşı hâlâ yamalanmamış durumda. CVE-2026-62911 olarak takip edilen bu güvenlik açığı; Exchange Server 2016, 2019 ve 8.0 ile 8.1 sürüm hatlarındaki Exchange SE'yi etkiliyor. Açıkta bulunan sistemlerin en yoğun olduğu ülkeler Amerika Birleşik Devletleri ve Almanya.

Yazıya göre exploit zinciri ilk olarak DEVCORE araştırmacıları tarafından bir Pwn2Own yarışma katılımı için geliştirildi ve açıklamanın yayınlanmasının ardından tam bir Python proof of concept de paylaşıldı.

Zincir nasıl çalışıyor

Başlangıç noktası, Active Directory ormanları arasında mailbox taşıma işlemlerini destekleyen Exchange bileşeni MRSProxy. dev.to analizine göre hata bir kimlik doğrulama atlaması: reddedilmesi gereken bir istek, sanki geçerli kimlik bilgileri taşıyormuş gibi işleme alınıyor. Uç nokta uzak çağrılar adına ayrıcalıklı işlemler gerçekleştirdiğinden, bu atlatma mail sunucusunda SYSTEM olarak çalışan kod çalıştırmaya kadar genişletilebiliyor.

Hatayı bir veri erişimi sorununun ötesine taşıyan şey ise Exchange'in işgal ettiği konum. Yazı, mail sunucularına mailbox işleri için geniş kapsamlı dizin izinleri rutin olarak verildiğine dikkat çekiyor; dolayısıyla bir sunucunun SYSTEM seviyesinde kontrolü fiilen etki alanı genelinde bir güvenlik sorununa dönüşüyor. Hollanda ulusal siber güvenlik merkezinin açığı söylendiğine göre istismar açısından düşük çaba gerektiren ve düşük saldırı karmaşıklığına sahip olarak değerlendirdiği belirtiliyor — yazının bu tür değerlendirmelerde ölçülü olduğunu belirttiği bir kuruluştan sert bir dil.

Yamalama neden tıkanıyor

Exchange 2019 ve SE, KB5121573 ile KB5121576 olarak anılan Ağustos 2026 güncellemelerinde düzeltmeleri aldı; ancak haftalar sonra bile binlerce sunucu yamalanmamış durumdaydı. Exchange 2016 destek ömrünün sonunda olduğundan, yamalar yalnızca genişletilmiş güvenlik güncellemesi anlaşması olan müşteriler için mevcut — bu da açıkta kalan sunucuların bir bölümünü hiçbir kolay çözüm olmadan bırakıyor.

dev.to yazısı bunu mail altyapısı için tanıdık bir döngü olarak çerçeveliyor: servis iş açısından kritik, değişiklik pencereleri sınırlı ve çok rollü topolojiler güncellemeleri riskli hale getiriyor; bu yüzden aynı sunucular her sürümden sonra tekrar tekrar maruziyet istatistiklerinde ortaya çıkıyor. Her ne kadar atanmış bir önem derecesi olsa da, kamuya açık bir exploit ile düşük efor gerektiren bir saldırı yolu bir araya geldiğinde durum acil hale geliyor.

Savunmacılar ne yapabilir

Yazı bir müdahale planı ortaya koyuyor:

• Desteklenen her sunucuyu yamalayın ve kurulu build'in düzeltmeyi gerçekten içerdiğini doğrulayın.

• Yamalama geciktiğinde uç noktayı izole edin: MRSProxy'nin rastgele internet adreslerinden erişilebilir olması gerekmiyordur; bu yüzden onu bir VPN'in veya kimlik doğrulayan, sertifika farkındalıklı bir reverse proxy'nin arkasına taşıyın.

• Elinizde mevcut loglarla tespit ekleyin — dizin oturum açmasıyla eşleşmeyen kimlik doğrulama başarıları, önceden mailbox etkinliği olmayan kaynaklardan gelen MRSProxy istekleri ve Exchange servis hesabı altında process oluşturma.

• Açıkta kalmış bir sunucudaki her kimlik bilgisinin ele geçirildiğini varsayın. SYSTEM seviyesinde erişim, ana makinedeki tüm sırları ve sunucunun dizinden okuyabildiği her şeyi açığa çıkarır; bu yüzden servis hesaplarının kimlik bilgilerini değiştirin ve maruziyet penceresi boyunca eklenen yönlendirme kuralları, mailbox temsilcileri ve transport kurallarını inceleyin.

• Destek ömrü bitmiş mail platformlarından geçişi, yamalar gelmemeye başlamadan çok önce başlayan uzun hazırlık süreli bir proje olarak ele alın.

Neden önemli

Etki alanına bağlı bir mail sunucusunda pre-auth uzaktan kod çalıştırma ve SYSTEM erişimi, kurumsal açıdan en kötü senaryolara yakın: kimlik bilgisi gerekmiyor, tam ana makine kontrolü ve kimlik altyapısına doğal bir geçiş noktası var. Exploit kodu kamuya açıkken, on binlerce internete açık ana makine hâlâ savunmasızken ve bir bölümü desteklenmeyen bir sürümde mahsur kalmışken CVE-2026-62911 acil bir yamalama önceliği — ve kritik servislerin satıcı desteğinden çıkmasıyla maruziyetin nerede kümeleneceğinin bir hatırlatıcısı.