Actualizaciones de seguridad de Exchange de agosto de 2026: cerrada la vulnerabilidad de Pwn2Own, desactivado OWA Light

Microsoft publicó actualizaciones de seguridad (SU) para Exchange Server el 11 de agosto de 2026, por cuarto mes consecutivo. Las actualizaciones corrigen siete vulnerabilidades. Ninguna era conocida públicamente de antemano, ninguna está siendo explotada activamente según la información actual, y Microsoft clasifica la explotación de las siete como «Exploitation Less Likely». Sin embargo, no se trata de un Patch Tuesday rutinario, por tres motivos: la actualización corrige la vulnerabilidad de Exchange demostrada en el concurso de hacking Pwn2Own, desactiva OWA Light de forma definitiva después de casi veinte años, y el equipo de Exchange explicó posteriormente por qué el ciclo mensual seguirá siendo, por ahora, la norma.

Para qué versiones de Exchange está disponible la actualización

Las SU están disponibles para las siguientes versiones:

• Exchange Server Subscription Edition (SE) RTM: KB5121573, compilación 15.2.2562.46; como actualización pública disponible de forma regular.
• Exchange Server 2019 CU15: KB5121574, compilación 15.2.1748.49; solo a través del programa Period 2 ESU.
• Exchange Server 2019 CU14: KB5121575, compilación 15.2.1544.44; solo a través de Period 2 ESU.
• Exchange Server 2016 CU23: KB5121576, compilación 15.1.2507.72; solo a través de Period 2 ESU.

La situación es la misma que en julio: Exchange 2016 y 2019 ya no tienen soporte. Las SU de mayo a octubre de 2026 solo las reciben quienes estén inscritos en el programa Period 2 ESU. Todos los demás permanecen sin parches, con catorce vulnerabilidades abiertas, algunas de ellas con una valoración alta; migrar a Exchange SE ya no admite demora. Exchange Online ya está protegido; en entornos híbridos, la SU debe instalarse igualmente en todos los servidores Exchange, incluidos los servidores dedicados exclusivamente a la administración y los equipos donde solo estén instaladas las Exchange Management Tools.

El problema conocido de los mensajes wrapper en buzones compartidos de entornos híbridos continúa incluso con la SU de agosto; según Microsoft, la corrección está prevista para una próxima actualización. Al menos hay una aclaración tranquilizadora en los comentarios del anuncio de lanzamiento: quien haya configurado el SettingOverride documentado como solución alternativa no necesita crearlo de nuevo tras instalar la SU de agosto. La actualización deja el override intacto, tal como confirmó allí el equipo de Exchange.

Las siete vulnerabilidades de un vistazo

Tres de ellas merecen una mirada más detallada.

CVE-2026-62913 tiene la puntuación más alta del mes, con CVSS 8.8: una ejecución remota de código que un atacante autenticado con permisos básicos puede desencadenar sin ninguna interacción del usuario. Basta cualquier cuenta de buzón comprometida como punto de partida; en tiempos de phishing y credential stuffing, «autenticado» no supone una gran barrera.

CVE-2026-62911 es la única vulnerabilidad del mes que Microsoft clasifica como Critical (elevación de privilegios, CVSS 8.0). Detrás hay más historia de la que deja entrever el número escueto: ante la pregunta de si ya se había corregido el exploit de Exchange demostrado por Orange Tsai en Pwn2Own 2026, el equipo de Exchange remite precisamente a esta CVE en los comentarios del anuncio de lanzamiento. Con ello queda cerrada la vulnerabilidad del concurso: otro motivo para no dejar pendiente la SU de agosto, ya que las técnicas de Pwn2Own suelen publicarse detalladamente tras expirar los periodos de embargo. Mientras tanto, eso es exactamente lo que ha ocurrido: hay una prueba de concepto pública, y la BSI informa de alrededor del 85 por ciento de servidores on-premises vulnerables en Alemania. En el artículo detallado sobre CVE-2026-62911 se explica cómo funciona técnicamente el ataque (MRSProxy sin Channel Binding, NTLM relay) y qué hay detrás de las cifras.

CVE-2026-62914 (suplantación de identidad, CVSS 7.3) es el motivo directo para desactivar OWA Light, como veremos a continuación.

Las demás vulnerabilidades: CVE-2026-62910 (EoP, 7.2) ya requiere privilegios elevados, mientras que CVE-2026-62912 (DoS), CVE-2026-62915 (Security Feature Bypass) y CVE-2026-65813 (EoP) tienen una puntuación CVSS de 6.5. Como es habitual, los detalles están en la Security Update Guide (filtro «Server Software» para Exchange SE o «ESU» para 2016/2019).

OWA Light: el final después de casi veinte años

Qué cambia la actualización

Con la instalación de la SU de agosto, OWA Light queda desactivado permanentemente: en todos los servidores donde se instale esta actualización o una posterior. Quien abra la interfaz Light será redirigido en adelante al Outlook on the web normal. La desactivación forma parte de la propia actualización y no se puede revertir mediante ningún interruptor; Microsoft la había anunciado unas semanas antes en una publicación específica de su blog.

OWA Light procede de la época de Exchange 2007: una interfaz web deliberadamente sencilla como alternativa para navegadores antiguos y conexiones lentas, oficialmente deprecated desde agosto de 2024. La razón de su retirada está impulsada por la seguridad: una ruta de renderizado heredada independiente junto al OWA moderno aumenta la complejidad y, con ella, la superficie de ataque; CVE-2026-62914 aporta la prueba concreta. Quienes hayan leído el artículo de julio quizá también lo recuerden: la mitigación de CVE-2026-42897 de mayo ya había dejado OWA Light inoperativo de forma incidental. Por tanto, la interfaz ya estaba en la cuerda floja.

Quienes no puedan aplicar el parche: desactivar OWA Light manualmente

Importante para todos quienes no puedan instalar la SU de agosto (todavía), por ejemplo porque falta la habilitación de ESU: Microsoft recomienda expresamente desactivar OWA Light manualmente en este caso para mitigar CVE-2026-62914. Esto se hace mediante la política de buzones OWA y la página de inicio de sesión:

Get-OwaMailboxPolicy | Set-OwaMailboxPolicy -OWALightEnabled $false
Get-OwaVirtualDirectory | Set-OwaVirtualDirectory -LogonPageLightSelectionEnabled $false

El primer comando desactiva la versión Light para todos los buzones de la política correspondiente; el segundo elimina la opción «Usar la versión Light» de la página de inicio de sesión de OWA. Los cambios en el directorio virtual de OWA solo se aplican de forma fiable tras reciclar el grupo de aplicaciones de OWA o tras un iisreset.

Qué deberían comprobar ahora los administradores

La desactivación es técnicamente trivial, pero no siempre a nivel organizativo: OWA Light era la solución alternativa silenciosa para escenarios de nicho. Conviene revisar ahora los marcadores y las guías del helpdesk que tengan ?layout=light codificado de forma fija, los dispositivos de quiosco y terminales con navegadores antiguos, así como las guías internas para usuarios que utilizaban la versión Light por motivos de accesibilidad. El Outlook on the web moderno funciona en todos los navegadores actuales e incorpora sus propias funciones de accesibilidad; pero quien no informe de antemano a los usuarios afectados generará tickets.

Por qué ahora se publica una SU cada mes y qué ocurre con Exchange SE CU1

Dos días después del lanzamiento, el equipo de Exchange respondió en una publicación de blog notablemente abierta («Where is Exchange SE CU1 anyway?») a la pregunta que se plantean muchos administradores. La versión breve: Microsoft utiliza herramientas de IA en toda la empresa para detectar vulnerabilidades en sus propios productos. Los equipos, incluido Exchange, están procesando actualmente los hallazgos notificados: validarlos, reproducirlos, corregirlos, probar regresiones y distribuirlos mensualmente. Desde mayo de 2026 se ha publicado así una SU de Exchange cada mes, y Microsoft afirma expresamente que este ritmo acelerado continuará.

El esperado CU1 para Exchange SE se retrasa precisamente por este motivo. Anunciado inicialmente para el primer semestre de 2026 y después aplazado al segundo, ya no hay siquiera una fecha objetivo. Microsoft solo quiere publicar CU1 cuando haya un mes sin una entrega de seguridad urgente entre medias; un CU que sea adelantado inmediatamente por una SU supondría trabajo de actualización duplicado para muchas organizaciones. Hasta entonces, la carga de seguridad mensual se incorpora continuamente a la compilación interna de CU1.

En la práctica, esto implica dos cosas. En primer lugar, esperar CU1 no es una estrategia, ni para migrar a SE ni para instalar las SU. En segundo lugar, una ventana de mantenimiento mensual para Exchange debe pasar a formar parte fija del calendario operativo, como ocurre desde hace tiempo con los servidores Windows.

Instalación y tareas posteriores

El proceso sigue siendo el probado: primero, usar el Exchange Health Checker para inventariar qué servidores tienen qué nivel de CU/SU y si quedan pasos manuales pendientes. Después, instalar la SU (si el nivel de CU está obsoleto, el Exchange Update Wizard muestra la ruta), reiniciar el servidor y comprobar que todos los servicios Exchange se hayan iniciado correctamente. Si los servicios aparecen como deshabilitados, la instalación se interrumpió; en ese caso, ayuda la solución alternativa documentada en el artículo de soporte de Microsoft sobre el error de versión de archivo o el script SetupAssist. Por último, ejecutar de nuevo el Health Checker.

Las SU son acumulativas: quien haya omitido la SU de julio puede instalar directamente la de agosto. Y en entornos híbridos se aplica el complemento habitual: si se cambia el certificado de autenticación tras instalar la SU, se debería ejecutar de nuevo el Hybrid Configuration Wizard.

Sigue vigente una tarea pendiente de julio: quien todavía tenga activa la mitigación CVE-2026-42897 (M2.1.0) debería eliminarla ahora; el artículo sobre la SU de julio explica cómo hacerlo correctamente.

Procedimiento recomendado

En resumen: instalar cuanto antes la SU de agosto en todos los servidores Exchange y equipos con Management Tools; la vulnerabilidad de Pwn2Own y la RCE con puntuación 8.8 son motivo suficiente para no esperar al próximo Patch Tuesday. Quienes no puedan aplicar el parche de inmediato pueden desactivar OWA Light manualmente como medida inmediata contra CVE-2026-62914. Antes de desactivar OWA Light, identificar e informar a los grupos de usuarios afectados (marcadores antiguos, navegadores de quiosco, flujos de trabajo de accesibilidad). Después, ejecutar Health Checker, completar las tareas pendientes de julio y planificar una ventana de mantenimiento mensual de Exchange, porque el ritmo continuará.