Yaklaşık 22.000 Exchange sunucusu replay kimlik doğrulama atlatma açığı CVE-2026-62911'e karşı yamalanmamış durumda

Bir replay açığı, kriptografik bir kırılma değil

CVE-2026-62911 olarak izlenen, Microsoft Exchange Server'daki yüksek önem dereceli kimlik doğrulama atlatma açığı 11 Ağustos 2026'da yamalandı; ancak on binlerce internete açık sunucu hâlâ savunmasız sürümleri çalıştırıyor ve herkese açık bir exploit mevcut. Tablo, açığı ve ait olduğu zafiyet sınıfını ele alan bir dev.to analizinde ortaya konuyor.

Hata, CWE-294 olarak sınıflandırılıyor: capture-replay ile kimlik doğrulama atlatma. dev.to'nun açıkladığı gibi bu bir kriptografik kırılma değil; zayıflık, bir kimlik bilgisi sunumunun oturum bağlamına nasıl bağlandığı yerinde yatıyor. Savunmasız bir sistem, önceki bir oturumda geçerli olan kimlik doğrulama malzemesini kabul ediyor ve yeni bir oturumda yeniden geçerli sayıyor.

Makalede aktarıldığı üzere Microsoft'ın danışma belgesi, sorunu daha önceden yetkilendirilmiş bir saldırganın ağ üzerinden yükseltilmiş ayrıcalıklar elde etmesi olarak çerçeveliyor. CVSS 3.1 temel puanı 8.0; vektör CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H — ağ üzerinden istismar edilebilirlik, düşük saldırı karmaşıklığı, belirli mevcut ayrıcalıklar ve kullanıcı etkileşimi gerekliliği ile gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki.

dev.to, etkilenen ürünleri ve düzeltilmiş sürümleri şöyle listeliyor:

• Exchange Server 2016 Cumulative Update 23 — 15.01.2507.072
• Exchange Server 2019 Cumulative Update 14 — 15.02.1544.044
• Exchange Server 2019 Cumulative Update 15 — 15.02.1748.049
• Exchange Server Subscription Edition RTM — 15.02.2562.046

Mesajlaşma platformları neden bu hataları üretmeye devam ediyor

Exchange, MAPI, Exchange Web Services, ActiveSync ve Outlook on the web gibi birçok istemci protokolüne hizmet veriyor; her birinin kendi kimlik doğrulama akışı varken kimlik arka uçları paylaşılıyor. dev.to'ya göre bu çeşitlilik, tek protokollü bir serviste olacağından çok daha fazla kimlik doğrulama kod yolu yaratıyor ve her yol, bir oturum bağlamasının atlanabileceği bir nokta. Eski protokol desteği sorunu büyütüyor: eski bir istemci akışının çalışmaya devam etmesi gerektiğinde onu bozacak sağlamlaştırma adımları devre dışı bırakılıyor ve replay açıkları sık sık bu uyumluluk kararının geriye kalanı oluyor.

Makaleye göre replay'e karşı standart savunmalar şunlar: benzersiz oturum tanımlayıcıları, oturumla birlikte süresi dolan nonce değerleri ve kimlik doğrulama malzemesini belirli bir bağlantıya bağlayan channel binding'ler. Bir kod yolu bu savunmalardan birini atladığında ya da ele geçirilen malzeme hiç ait olmadığı bir bağlamda bir denetimi hâlâ geçtiğinde replay mümkün hale geliyor.

Yanlış sinyale göre kurulmuş tespit

Replay saldırıları, klasik alarm olan art arda başarısız oturum açma dalgasını tetiklemiyor. Bunlar beklenmeyen bir yerden gelen başarılı bir oturum açma olarak ortaya çıkıyor; yani başarısızlık hacmine göre ayarlanmış tespit programları bunları kaçırırken, başarılı kimlik doğrulamalarının bağlamını inceleyen programlar daha fazlasını yakalayabiliyor.

Önlem konusunda dev.to iki pratik önleme işaret ediyor: kimlik doğrulamayı phishing'e dayanıklı yöntemlere kaydırmak, saldırganın ele geçirmeyi başardığı herhangi bir exchange'in değerini düşürüyor ve istemcilerle posta sunucuları arasındaki ağ yolunu segmentlere ayırmak, trafiğin gözlenebileceği avantaj noktalarını sınırlıyor.

Maruziyet ne kadar büyük

Makalede alıntılanan CSIRT.CZ, yamalanmamış yaklaşık 22.000 internete açık Exchange sunucusu raporladı ve herkese açık bir exploit'in mevcut olduğunu belirtti. Ölçek vermek gerekirse, Microsoft Exchange için bir ZoomEye sorgusu küresel olarak 569.453 eşleşen varlık döndürüyor; ancak CVE tanımlayıcısına göre filtreleme sıfır sonuç döndürdü, çünkü arama motoru bu tanımlayıcıyı gözlemlenen varlıklarla henüz eşiklememiş.

Neden önemli

Ağ üzerinden orta düzeyde ayrıcalıklı bir saldırganın yetki yükseltmesine imkân tanıyan, CVSS 8.0 puanlı bir açığın, çalışan bir herkese açık exploit ve yamalanmamış yaklaşık 22.000 internete açık örnekle birleşmesi, bunu Exchange 2016, 2019 ve Subscription Edition genelinde etkilenen sürümleri çalıştıran herkes için acil bir yükleme önceliği haline getiriyor.

Bu tek CVE'nin ötesinde, olay replay açıklarının tek seferlik bir kusur değil, çok protokollü platformlardaki uyumluluk ödünleşimlerinin geride bıraktığı, tekrar eden bir sınıf olduğunu hatırlatıyor. dev.to'nun çıkardığı kalıcı ders, başarılı bir kimlik doğrulamayı basit bir geçti/kaldı olarak değil, bağlamı hak eden bir olay olarak ele almak: nereden geldi, nasıl ve hangi protokolle geldi.