Het Nationaal Cyber Security Centrum (NCSC) waarschuwt organisaties voor een kritieke kwetsbaarheid in Microsoft Exchange die een grote kans op misbruik en aanzienlijke schade met zich meebrengt. Het gaat om een authenticatie-omzeilingslek (CVE-2026-62911) waardoor aanvallers toegang kunnen krijgen tot alle mailboxes op een Exchange-server. Hierdoor kunnen zij e-mails lezen, versturen en bijlagen downloaden.

Deze kwetsbaarheid werd ontdekt door beveiligingsonderzoeker Orange Tsai en een onderzoeker van Microsoft. Microsoft bracht op 11 augustus een beveiligingsupdate uit, maar gaf destijds aan dat misbruik van het lek minder waarschijnlijk was. Het NCSC hanteert een eigen inschaling van kwetsbaarheden waarbij zowel de kans op misbruik als de potentiële schade worden beoordeeld. Aanvankelijk werd de kans op misbruik als middelmatig en de schade als hoog ingeschat.

Recentelijk is er echter proof-of-concept exploitcode online verschenen, waardoor het NCSC de inschatting heeft aangepast naar een hoge kans op misbruik en hoge schade. Dit betekent dat het risico op aanvallen en de impact daarvan aanzienlijk zijn toegenomen. Het NCSC roept organisaties dan ook dringend op om de beveiligingsupdate van Microsoft zo snel mogelijk te installeren om misbruik te voorkomen.