Microsoft пусна извънредна корекция за сигурност за Exchange Server, която отстранява уязвимост с висока степен на опасност (CVE-2026-96940). Тя може да позволи на автентикирани атакуващи да четат имейли и прикачени файлове на други потребители в същата организация, но „не позволява достъп извън границите на съответната организация (tenant).“
CVE-2026-96940 е открита от вътрешния екип на компанията и според екипа на Exchange Server те „нямат информация за активни злоупотреби.“
Въпреки това от Microsoft смятат, че уязвимостта може да бъде системно експлоатирана, и отбелязват, че този тип уязвимости са били обект на атаки в миналото. Поради тази причина компанията съветва администраторите на Exchange Server да инсталират корекциите за сигурност възможно най-скоро.
Объркано пускане на обновлението
В края на миналата седмица Microsoft внедри свързана корекция от страна на услугата за Exchange Online, което изненада клиентите, тъй като обновленията за сигурност не бяха незабавно придружени от KB статия с разяснение на съдържанието им.
Този пропуск бе потвърден малко след това от Microsoft, когато екипът на Exchange Server обясни, че последователността на пускане на тази конкретна корекция е била необичайна, тъй като е публикувана преди предвидения график. (Те не обясниха причината за това.)
Корекцията за сигурност е налична за локални сървъри, работещи с Exchange Server Subscription RTM, Exchange Server 2019 Cumulative Update 14 и 15, както и Exchange Server 2016 Cumulative Update 23.
„Препоръчваме на клиентите да прегледат указанията за внедряване и да приложат обновлението [септември 2026 v2] при първа възможност“, заявиха те.
„Нашата препоръка е да се инсталират обновленията за сигурност на всички Exchange сървъри, както и на всички сървъри и работни станции, работещи с Exchange Management Tools, за да се гарантира съвместимост между клиентите на инструментите за управление и сървърите.“
