CVE-2026-62911 Abilita RCE Pre-Auth su Exchange Server

Riepilogo

Una vulnerabilità critica di esecuzione di codice remoto pre-autenticazione colpisce Microsoft Exchange Server perché la Extended Protection non è applicata su MRSProxy HTTP.sys endpoint. Gli attaccanti possono sfruttare il difetto tramite un relay NTLM in stile PetitPotam per ottenere privilegi di account macchina. Questo accesso può poi essere abusato attraverso i metodi del servizio WCF per scrivere file arbitrari, incluse webshells ASPX, su disco e ottenere infine il controllo a livello SYSTEM.

Indagine

Orange Tsai ha dimostrato la vulnerabilità a Pwn2Own Berlin 2026 come parte di una catena di exploit composta da tre bug. L’indagine ha mostrato che HTTP.sys l’endpoint accetta l’autenticazione Negotiate ma non valida correttamente i binding di canale. Questa debolezza consente agli attaccanti di reindirizzare gli hash degli account macchina e ottenere accesso autorizzato al MailboxReplicationProxyService.

Mitigazione

Le organizzazioni dovrebbero applicare l’aggiornamento di sicurezza Microsoft appropriato, inclusi KB5121576, KB5121575, KB5121574 o KB5121573, a seconda della versione di Exchange implementata. Exchange 2016 ha raggiunto la fine del ciclo di vita a ottobre 2025 e richiede gli Aggiornamenti di Sicurezza Estesa (ESU) per una protezione continua. L’abilitazione della Extended Protection su tutti i servizi Exchange rimane la principale mitigazione tecnica.

Risposta

Se viene rilevata la creazione non autorizzata di file nelle directory IIS o attività insolita del servizio WCF, gli amministratori dovrebbero isolare immediatamente il server Exchange interessato. I team di sicurezza dovrebbero esaminare i log per rilevare tentativi di relay NTLM che prendono di mira l’endpoint MRSProxy e monitorare l’esecuzione sospetta di ASPX sotto il contesto di NT AUTHORITYSYSTEM . L’integrità di MSExchangeMailboxReplication.exe.config dovrebbe anche essere verificata.

## Esecuzione della Simulazione

Prerequisito: Il controllo preliminare di Telemetria e Baseline deve essere superato.

Motivo: Questa sezione descrive l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrazione e Comandi dell’Attacco: L’avversario identifica un Exchange Server e intende sfruttare il CVE-2026-62911 reindirizzando una sessione di autenticazione NTLM intercettata verso l’endpoint MRSProxy. Forzando la vittima ad autenticarsi tramite HTTP contro il servizio MRSProxy, l’avversario attiva un evento di accesso alla rete riuscito. Questa specifica interazione fa sì che il sottosistema di sicurezza di Windows registri l’ID evento 4624 con LogonType 3 e identifica il contesto del servizio target all’interno del campo DetailedAuthenticationInformation , che è il trigger specifico per la regola di rilevamento.

• Script di Test di Regressione:

  <#
  .SINOPSI
  Simula un relay NTLM riuscito verso l'endpoint MRSProxy per attivare il rilevamento di CVE-2026-62911.
  NOTA: Questo script simula la generazione locale dell'evento LOGON a fini di convalida.
  #>
  
  Write-Host "[+] Avvio Simulazione: Tentativo di Relay CVE-2026-62911" -ForegroundColor Cyan
  
  # In un attacco reale, questo sarebbe innescato da uno strumento esterno come Impacket o Responder
  # Per la convalida del rilevamento, simuliamo la voce del registro eventi di sicurezza 4624 risultante.
  
  $EventLogEntry = @{
      EventID = 4624
      LogonType = 3
      AuthenticationPackageName = "Negotiate"
      DetailedAuthenticationInformation = "MRSProxy"
      TargetUserName = "RelayedUser"
      IpAddress = "192.168.1.50"
  }
  
  Write-Host "[+] Generazione Simulata dell'Evento di Sicurezza 4624..." -ForegroundColor Yellow
  
  # Poiché non possiamo facilmente 'falsificare' un evento di sicurezza a livello di kernel senza privilegi di amministratore/sistema,
  # usiamo questo blocco per rappresentare la telemetria che DOVREBBE apparire nel SIEM.
  # Per testare effettivamente la regola SIEM, utilizzare uno strumento come 'Invoke-Mimikatz' o 'impacket-ntlmrelayx'
  # contro un server Exchange di laboratorio.
  
  Write-Host "[!] Payload di Telemetria della Simulazione:" -ForegroundColor White
  $EventLogEntry | Out-String | Write-Host
  
  Write-Host "[+] Simulazione Completa. Verifica SIEM per l'ID Evento 4624 con contesto MRSProxy." -ForegroundColor Green

• Comandi di Pulizia:

  # Lo script di simulazione non apporta modifiche permanenti.
  # Se sono state mappate unità manuali durante il pre-volo, rimuoverle:
  Get-PSDrive -Name "TestDrive" -ErrorAction SilentlyContinue | Remove-PSDrive
  Write-Host "[+] Pulizia Completa." -ForegroundColor Green