Microsoft устранила брешь в Exchange Server: злоумышленник мог читать чужую почту

Microsoft выпустила внеплановые (out-of-band) обновления безопасности для устранения опасной уязвимости в Microsoft Exchange Server. Брешь, получившая идентификатор CVE-2026-96940, оценена в 8.8 балла по шкале CVSS.

В чём суть

По формулировке самой компании из бюллетеня от 2 октября 2026 года, «слабая авторизация в Microsoft Exchange Server позволяет авторизованному злоумышленнику повысить привилегии по сети».

На практике это означает, что уже прошедший аутентификацию пользователь мог получить несанкционированный доступ к почтовым ящикам других сотрудников в пределах той же организации — и прочитать их письма и вложения. При этом межтенантный доступ уязвимость не открывает: выйти за границы своей организации нельзя.

Кому нужно действовать

Для облачного Exchange Online Microsoft уже развернула соответствующее исправление на стороне сервиса, поэтому его клиентам предпринимать ничего не требуется.

А вот администраторам локальных развёртываний предстоит установить патчи вручную. В списке затронутых продуктов:

• Microsoft Exchange Server Subscription Edition RTM;
• Microsoft Exchange Server 2016 Cumulative Update 23;
• Microsoft Exchange Server 2019 Cumulative Update 15;
• Microsoft Exchange Server 2019 Cumulative Update 14.

Обнаружение и ответственное раскрытие уязвимости компания приписала своему исследователю Яну Митчеллу (Jan Mitchell).

Почему стоит поторопиться

Свидетельств эксплуатации уязвимости в реальных атаках пока нет, однако Microsoft присвоила ей отметку «эксплуатация более вероятна» (Exploitation More Likely). Это сигнал администраторам не откладывать установку обновлений.

Новость появилась через несколько дней после предупреждения Symantec (принадлежит Broadcom) о том, что связанная с Китаем группировка Warlock эксплуатирует сразу несколько уязвимостей в Microsoft SharePoint, разворачивая одноимённый шифровальщик в атаках на организации в испано- и португалоязычных странах.

Источник: The Hacker News