微软已发布紧急安全更新，以解决Microsoft Exchange Server中的一个高严重性漏洞，该漏洞可能允许攻击者在某些条件下提升权限。
该漏洞被追踪为CVE-2026-96940，在CVSS评分系统中评级为8.8。
微软在2026年10月2日发布的公告中表示：“Microsoft Exchange Server中的弱授权允许经过身份验证的攻击者在网络上提升权限。”
这家Windows制造商表示，经过身份验证的攻击者可以利用此漏洞在同一组织内未经授权访问其他用户的邮箱，并读取电子邮件消息和附件。然而，该漏洞不允许跨租户访问。
微软已经向Exchange Online部署了“相关的服务端修复”以解决该问题。因此，Exchange Online客户无需采取任何行动。
受影响的本地Microsoft Exchange Server产品的用户被建议安装更新以保持保护。受影响的版本包括 -
Microsoft Exchange Server Subscription Edition RTM
Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 15
Microsoft Exchange Server 2019 Cumulative Update 14
微软已将发现并报告该漏洞的研究员Jan Mitchell列为功劳。尽管没有证据表明该漏洞在野外被武器化，但微软已将其标记为“更可能被利用”的可利用性评估，因此用户必须迅速应用修复程序。
此披露是在博通旗下的Symantec警告中国关联的Warlock行为者正在利用Microsoft SharePoint中的多个漏洞，在针对葡萄牙语和西班牙语国家的组织进行攻击以部署其同名勒索软件几天后发布的。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。