Microsoft выпустила внеочередные обновления безопасности для устранения уязвимости высокой степени серьезности в Microsoft Exchange Server, которая может позволить злоумышленнику повысить привилегии в определенных условиях.
Уязвимость, отслеживаемая как CVE-2026-96940, имеет рейтинг 8.8 по системе оценки CVSS.
"Слабая авторизация в Microsoft Exchange Server позволяет аутентифицированному злоумышленнику повышать привилегии через сеть," - заявила Microsoft в уведомлении, опубликованном 2 октября 2026 года.
Производитель Windows сообщил, что аутентифицированный злоумышленник может использовать эту уязвимость для несанкционированного доступа к почтовым ящикам других пользователей в той же организации и читать электронные сообщения и вложения. Однако уязвимость не позволяет доступ между арендаторами.
Microsoft уже развернула "связанное исправление на стороне сервиса" для Exchange Online, чтобы решить эту проблему. В результате пользователям Exchange Online не требуется предпринимать никаких действий.
Пользователям затронутых локальных продуктов Microsoft Exchange Server рекомендуется установить обновления для обеспечения защиты. На следующие версии это влияет -
Microsoft Exchange Server Subscription Edition RTM
Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 15
Microsoft Exchange Server 2019 Cumulative Update 14
Redmond поблагодарил исследователя Microsoft Яна Митчелла за обнаружение и сообщение об уязвимости. Хотя нет доказательств того, что уязвимость была использована в дикой природе, Microsoft присвоила ей оценку Exploitability "Эксплуатация более вероятна", что делает крайне важным для пользователей быстро применить исправления.
Раскрытие информации произошло через несколько дней после того, как принадлежащая Broadcom компания Symantec предупредила, что связанный с Китаем актор Warlock использует несколько уязвимостей в Microsoft SharePoint для развертывания своего одноименного программного обеспечения-вымогателя в атаках на организации в португалоязычных и испаноязычных странах.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.