6 октября 2026 года
Резюме
Microsoft выпустила внеочередное обновление безопасности для Exchange Server, чтобы устранить уязвимость повышения привилегий CVE-2026-96940, которая может позволить аутентифицированному злоумышленнику получить доступ к электронной почте и вложениям, принадлежащим другим пользователям в одной и той же организации Exchange. Microsoft сообщает, что не знает о фактах активной эксплуатации уязвимости. Тем не менее, компания выпустила исправление вне своего обычного цикла обновлений и рекомендует применить его при первой же возможности.
CVE-2026-96940
CVE-2026-96940 затрагивает Microsoft Exchange Server и может позволить аутентифицированному злоумышленнику получить доступ к данным почтовых ящиков, принадлежащим другим пользователям.
Потенциальные риски включают:
- Электронные письма
- Вложения к электронным письмам
- Внутренние коммуникации
- Другую чувствительную информацию почтовых ящиков
Злоумышленник должен быть уже аутентифицирован, и уязвимость не предоставляет доступ между арендаторами. Microsoft обнаружила проблему внутренне и в настоящее время не сообщает о фактах активной эксплуатации. Microsoft обычно выпускает обновления безопасности для Exchange как часть своего регулярного цикла обслуживания. Эта уязвимость получила внеочередное исправление, что указывает на то, что Microsoft считает своевременное устранение важным, чтобы не ждать следующего регулярного цикла обновлений.
Серверы Exchange остаются привлекательными целями, поскольку они содержат большие объемы чувствительной организационной информации. Уязвимость, которая может пересекать обычные границы доступа к почтовым ящикам, поэтому заслуживает быстрого внимания, даже без подтвержденной эксплуатации.
Затронутые версии
Обновление применяется к:
- Exchange Server Subscription Edition RTM
- Exchange Server 2019 CU14
- Exchange Server 2019 CU15
- Exchange Server 2016 CU23
Microsoft также выпустила версии V2 соответствующих обновлений безопасности. Ключевые обновления включают:
- KB5129955 — Exchange Server Subscription Edition
- KB5129956 — Exchange Server 2019 CU15
- KB5129957 — Exchange Server 2019 CU14
Организациям следует убедиться, что они установили последнее применимое обновление, а не полагаться на оригинальный пакет.
Рассмотрение Exchange 2016 и 2019
Exchange Server 2016 и Exchange Server 2019 уже не поддерживаются в основном режиме. Обновления безопасности остаются доступными для соответствующих организаций через программу расширенного обновления безопасности (ESU) от Microsoft. Организациям, которые все еще используют эти версии, следует использовать этот период для ускорения миграции на Exchange Server Subscription Edition.
Проверки после обновления
Microsoft задокументировала некоторые проблемы, которые администраторам следует учитывать после развертывания, включая проблемы с опубликованными календарями и определенными гибридными сценариями свободного/занятого времени.
После установки обновления администраторам следует:
- Проверить номер сборки Exchange.
- Запустить проверку состояния сервера Exchange.
- Подтвердить поток почты.
- Протестировать доступ к Outlook, OWA и ECP.
- Проверить функциональность календаря.
- Проверить функциональность гибридного свободного/занятого времени, если это применимо.
- Просмотреть журналы Exchange и активность аутентификации на наличие необычного поведения.
Что должны делать команды безопасности
Организации, работающие на локальном Exchange, должны рассматривать это как высокоприоритетную задачу по патчированию. Начните с идентификации всех серверов Exchange и их текущих сборок. Приоритизируйте системы, доступные извне, примените соответствующее обновление безопасности V2 и проверьте окружение после установки.
Хотя в настоящее время нет подтвержденной эксплуатации, сочетание аутентифицированного доступа, потенциального раскрытия данных почтовых ящиков и решение Microsoft выпустить внеочередное исправление делает эту уязвимость достойной быстрого устранения. Для администраторов Exchange это не патч, который следует оставлять в резерве.