Het Nationaal Cyber Security Centrum (NCSC) waarschuwt organisaties dat er een grote kans is op misbruik van een kritieke kwetsbaarheid in Microsoft Exchange en dit tot grote schade kan leiden. Organisaties worden opgeroepen om de beveiligingsupdate van Microsoft, die op 11 augustus verscheen, te installeren mocht dat nog niet zijn gedaan. Via het 'authentication bypass' beveiligingslek (CVE-2026-62911) kan een aanvaller toegang tot de mailboxes van alle gebruikers op de Exchange-server krijgen. Vervolgens is het mogelijk om e-mails te lezen, te versturen en bijlagen te downloaden.

Het probleem in Microsoft Exchange Server 2016, 2019 en SE werd door de bekende beveiligingsonderzoeker Orange Tsai gevonden, alsmede een onderzoeker van Microsoft. In het beveiligingsbulletin geeft Microsoft weinig details over de kwetsbaarheid, behalve dat het een 'authentication bypass by capture-replay' betreft. Bij het uitbrengen van de beveiligingsupdate voor de kwetsbaarheid stelde Microsoft dat misbruik van het probleem 'less likely' was.

Het NCSC waarschuwt zelf ook voor beveiligingslekken en geeft daarbij aan wat de kans op misbruik is en hoe groot de schade kan zijn. In het geval van CVE-2026-62911 was de kans op misbruik eerst als 'Medium' ingeschaald en de schade op 'High'. Voor het Exchange-lek is nu proof-of-concept exploitcode op internet verschenen, waardoor de overheidsinstantie de inschaling vandaag heeft aangepast van Medium/High naar High/High. Dat houdt in dat zowel de kans op misbruik als schade groot zijn.