Exchange Server: parche fuera de ciclo para CVE-2026-96940

El viernes 2 de octubre de 2026 Microsoft publicó un boletín de seguridad sobre CVE-2026-96940, una vulnerabilidad de elevación de privilegios en Microsoft Exchange Server. La publicación llegó fuera de la habitual cita mensual del segundo martes, que en octubre cae el día 13.

El 5 de octubre publicaron un aviso el CERT-FR (CERTFR-2026-AVI-1258) y el Canadian Centre for Cyber Security (AV26-1001); el 6 de octubre, el NCSC-NL (NCSC-2026-0401). Las versiones afectadas que indican coinciden.

Qué ha pasado

Según el CERT-FR, la vulnerabilidad permite a un atacante obtener una elevación de privilegios en Exchange Server. Microsoft la describe como «Microsoft Exchange Server Elevation of Privilege Vulnerability». El NCSC-NL ha clasificado su aviso como M/H, es decir, probabilidad media y daño alto.

El CERT-FR remite al boletín del fabricante para las correcciones; el Canadian Centre invita a administradores y usuarios a consultar el boletín y aplicar las actualizaciones necesarias.

Detalles técnicos

• CVE: CVE-2026-96940.
• Tipo de fallo: elevación de privilegios.
• Boletín del fabricante: Microsoft Security Update Guide, 2 de octubre de 2026.
• Versiones afectadas (todas las compilaciones anteriores a la indicada, según el CERT-FR y el Canadian Centre):
  • Exchange Server 2016 Cumulative Update 23: compilaciones anteriores a 15.01.2507.075;
  • Exchange Server 2019 Cumulative Update 14: compilaciones anteriores a 15.02.1544.048;
  • Exchange Server 2019 Cumulative Update 15: compilaciones anteriores a 15.02.1748.053;
  • Exchange Server Subscription Edition RTM: compilaciones anteriores a 15.02.2562.053.
• MITRE ATT&CK: explotar una vulnerabilidad para obtener privilegios más altos corresponde en general a T1068 (Exploitation for Privilege Escalation).

Los avisos disponibles no indican la puntuación CVSS, el vector de ataque, si hacen falta credenciales para explotar la vulnerabilidad ni si ya se está explotando. Tampoco incluyen indicadores de compromiso. Para estos detalles, la referencia es el boletín de Microsoft, que conviene volver a consultar en los próximos días por si se actualiza.

Los organismos solo enumeran estas cuatro ramas. Si un servidor tiene otra actualización acumulativa, no se indica una compilación corregida para él: consulta en el boletín de Microsoft cómo llevarlo a una versión actualizada.

Impacto para las empresas europeas e italianas

Un Exchange Server instalado en la empresa contiene el correo de toda la organización y suele estar integrado con Active Directory. Por eso, una elevación de privilegios en estos servidores merece atención incluso cuando, como en este caso, aún faltan detalles sobre la explotación: la clasificación del NCSC-NL indica un daño potencial alto.

El problema afecta también a quien ha trasladado los buzones a Microsoft 365 pero mantiene un servidor Exchange local para gestionar un entorno híbrido: ese servidor también hay que actualizarlo.

Para las entidades sujetas a la NIS2 (en Italia, el Decreto Legislativo 138/2024), la gestión de vulnerabilidades forma parte de las medidas de seguridad exigidas: aplicar la actualización y documentar cuándo y en qué servidores se hizo ayuda a demostrarlo. Si aparecieran indicios de compromiso, el incidente debe valorarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ya

1. Inventario: localiza todos los servidores Exchange locales, incluidos los de pruebas y los que se mantienen solo para gestionar el entorno híbrido.

2. Comprueba la compilación de cada servidor. Desde el Exchange Management Shell, el comando que documenta Microsoft para leer la compilación instalada, con las actualizaciones de seguridad incluidas, es:

   Get-Command Exsetup.exe | ForEach-Object { $_.FileVersionInfo }

   Compara el valor con la compilación indicada para tu rama en la lista de detalles técnicos: si es inferior, el servidor es vulnerable.

3. Actualiza con el paquete indicado en el boletín de Microsoft, un servidor cada vez si trabajas con un grupo de disponibilidad de bases de datos, empezando por los accesibles desde Internet. Microsoft recomienda instalar las actualizaciones de seguridad de Exchange desde una sesión con privilegios de administrador.

4. Vuelve a comprobar la compilación después de la instalación y verifica que Outlook en la Web y el flujo de correo funcionan.

5. Controles generales, a la espera de detalles técnicos: los avisos no dan indicadores que buscar, pero puedes revisar los cambios administrativos recientes con Search-AdminAuditLog, los nuevos miembros de los grupos de roles privilegiados (como Organization Management) y los permisos añadidos recientemente a los buzones.

6. Sigue las actualizaciones: si Microsoft o los organismos informaran de una explotación activa, la prioridad sube y podrían llegar indicadores que buscar en los registros.

Cómo ayuda ARXDOME

ARX Shield enumera las vulnerabilidades abiertas por máquina y por paquete en las máquinas supervisadas, con las ya explotadas destacadas, y muestra su antigüedad: ayuda a seguir los servidores que aún hay que actualizar. ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos se reconocen en ellos, útil para saber si un servidor Exchange es accesible desde fuera. ARX Sentry, en las páginas SOC dedicadas a las identidades, muestra los accesos privilegiados y los cambios en las cuentas.

Última actualización: 6 de octubre de 2026