Microsoft пусна V2 актуализации за сигурност от септември 2026 г., за да отстрани уязвимост в Exchange Server, която позволява на автентикирани атакуващи да достъпват пощенските кутии на други потребители в рамките на същата организация. Проследявана като CVE-2026–96940, уязвимостта може да разкрие имейл съобщения и прикачени файлове, което я прави сериозен проблем за бизнеса, използващ Exchange на собствена инфраструктура (on-premises).

Уязвимостта е свързана със слаба авторизация, позволявайки на атакуващ с автентикиран достъп да придобие привилегии в мрежата. Публичните записи за уязвимости посочват CVSS оценка от 8.8. За разлика от атаките, които изискват отваряне на зловреден файл, експлоатацията не изисква взаимодействие от страна на потребителя. Докладваният достъп до пощенски кутии не надхвърля границите на отделните тенанти (tenants).

От Microsoft заявиха, че техните собствени екипи са открили уязвимостта вътрешно и нямат данни за активна експлоатация. Компанията също така потвърди, че обновяването е появило преди планирания график за пускане и част от придружаващата документация може да не е била налична в момента на обявяването.

Microsoft преиздава актуализацията за Exchange Server

Версията V2 от септември 2026 г. добавя защита срещу CVE-2026-96940 към първоначалните актуализации за сигурност от септември. Поради това организациите, които са инсталирали по-ранната версия, трябва да прегледат новите пакети, вместо да предполагат, че техните сървъри вече разполагат с тази допълнителна корекция.

Обновяванията са налични за Exchange Server Subscription Edition RTM, Exchange Server 2019 CU14 и CU15, и Exchange Server 2016 CU23. Администраторите трябва да изберат пакета, който съответства на тяхната инсталирана версия и кумулативна актуализация (CU).

Новият проблем е отделен от CVE-2026-62911 — по-ранна уязвимост в Exchange, отразена от Cybersecurity News, след като публичен концептуален доказателствен код (proof of concept) демонстрира вектор на атака с препредаване на автентикация (authentication relay). Това по-ранно изследване не трябва да се разглежда като доказателство за съществуването на експлойт за CVE-2026-96940.

Exchange Server 2016 и 2019 са с изтекла поддръжка. Техните най-нови корекции за сигурност са достъпни само за организации, включени в програмата на Microsoft Period 2 Extended Security Update (ESU), която покрива периода от май до октомври 2026 г.

Период 2 изисква отделна покупка, включително за клиенти, които са се присъединили към по-ранната ESU програма. От Microsoft заявяват, че няма да има допълнителни удължавания след октомври. Организациите без такова покритие трябва да мигрират към Exchange Server Subscription Edition, за да продължат да получават актуални корекции за сигурност.

Клиентите на Exchange Online вече са защитени срещу уязвимостите, адресирани в това издание. Бизнесите, използващи хибридни внедрявания, обаче трябва да актуализират локалните си Exchange сървъри, включително сървърите, използвани само за управление. Машините, работещи с Exchange Management Tools, също се нуждаят от съответните актуализации.

Microsoft препоръчва стартирането на скрипта Exchange Server Health Checker за идентифициране на липсващи кумулативни актуализации, актуализации за сигурност и необходими ръчни действия. Администраторите могат да използват Exchange Update Wizard, за да планират правилния път за надграждане, преди да инсталират най-новия пакет за сигурност.

Актуализациите за сигурност на Exchange са кумулативни. Сървър, работещ с поддържана кумулативна актуализация, не се нуждае от последователно инсталиране на всяка предишна актуализация за сигурност. След инсталацията администраторите трябва да рестартират сървъра, да потвърдят правилното стартиране на услугите на Exchange и отново да изпълнят Health Checker за идентифициране на оставащите стъпки.

Версията има известни проблеми, свързани с публикувани календарни файлове, връщащи грешки HTTP 500, и блокирания на ContentEngine, засягащи имейли на корейски език. Microsoft планира да ги отстрани в бъдещи актуализации. Посочени са и корекции за обвиващи съобщения (wrapper messages) на споделени пощенски кутии и достъпността на делегирани пощенски кутии в определени хибридни среди.

Microsoft призовава клиентите да прегледат насоките за внедряване и да инсталират корекциите за сигурност при първа възможност. За засегнатите организации приоритет е затварянето на пролуката в достъпа до пощенските кутии, докато се уверите, че имейл услугите остават в изправност след инсталирането на корекциите в тяхната Exchange среда.