Exchange Server: patch fuori ciclo per CVE-2026-96940

Venerdì 2 ottobre 2026 Microsoft ha pubblicato un bollettino di sicurezza su CVE-2026-96940, una vulnerabilità di elevazione di privilegi in Microsoft Exchange Server. Il rilascio è arrivato fuori dal consueto appuntamento mensile del secondo martedì, che a ottobre cade il 13.

Il 5 ottobre hanno pubblicato un avviso il CERT-FR (CERTFR-2026-AVI-1258) e il Canadian Centre for Cyber Security (AV26-1001); il 6 ottobre l’NCSC-NL (NCSC-2026-0401). Le versioni colpite indicate dagli enti coincidono.

Cosa è successo

Secondo il CERT-FR, la vulnerabilità permette a un attaccante di ottenere un’elevazione di privilegi su Exchange Server. Microsoft la descrive come «Microsoft Exchange Server Elevation of Privilege Vulnerability». L’NCSC-NL ha classificato il suo avviso come M/H, cioè probabilità media e danno alto.

Il CERT-FR rimanda al bollettino del produttore per le correzioni; il Canadian Centre invita amministratori e utenti a consultare il bollettino e ad applicare gli aggiornamenti necessari.

Dettagli tecnici

• CVE: CVE-2026-96940.
• Tipo di difetto: elevazione di privilegi.
• Bollettino del produttore: Microsoft Security Update Guide, 2 ottobre 2026.
• Versioni colpite (tutte le build precedenti a quella indicata, secondo il CERT-FR e il Canadian Centre):
  • Exchange Server 2016 Cumulative Update 23: build precedenti a 15.01.2507.075;
  • Exchange Server 2019 Cumulative Update 14: build precedenti a 15.02.1544.048;
  • Exchange Server 2019 Cumulative Update 15: build precedenti a 15.02.1748.053;
  • Exchange Server Subscription Edition RTM: build precedenti a 15.02.2562.053.
• MITRE ATT&CK: lo sfruttamento di una vulnerabilità per ottenere privilegi più alti corrisponde in generale a T1068 (Exploitation for Privilege Escalation).

Gli avvisi disponibili non indicano il punteggio CVSS, il vettore d’attacco, se servano credenziali per sfruttare la vulnerabilità né se sia già sfruttata. Non riportano neppure indicatori di compromissione. Per questi dettagli fa fede il bollettino di Microsoft, che conviene controllare anche nei prossimi giorni per eventuali aggiornamenti.

Gli enti elencano soltanto questi quattro rami. Se un server ha un aggiornamento cumulativo diverso, per lui non è indicata una build corretta: verifica nel bollettino di Microsoft come portarlo a una versione aggiornata.

Impatto per le aziende europee e italiane

Exchange Server installato in azienda contiene la posta di tutta l’organizzazione ed è spesso integrato con Active Directory. Per questo un’elevazione di privilegi su questi server merita attenzione anche quando, come in questo caso, mancano ancora i dettagli sullo sfruttamento: la classificazione dell’NCSC-NL indica un danno potenziale alto.

Il problema riguarda anche chi ha spostato le caselle su Microsoft 365 ma mantiene un server Exchange in sede per la gestione di un ambiente ibrido: anche quel server va aggiornato.

Per i soggetti che rientrano nella NIS2 (in Italia il d.lgs. 138/2024), la gestione delle vulnerabilità fa parte delle misure di sicurezza richieste: applicare l’aggiornamento e documentare quando e su quali server è stato fatto aiuta a dimostrarlo. Se emergessero tracce di compromissione, l’incidente va valutato per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN.

Cosa fare subito

1. Inventario: individua tutti i server Exchange in sede, compresi quelli di test e quelli tenuti solo per la gestione dell’ambiente ibrido.

2. Verifica la build di ogni server. Dall’Exchange Management Shell, il comando indicato da Microsoft per leggere la build installata, aggiornamenti di sicurezza compresi, è:

   Get-Command Exsetup.exe | ForEach-Object { $_.FileVersionInfo }

   Confronta il valore con la build indicata per il tuo ramo nell’elenco dei dettagli tecnici: se è inferiore, il server è vulnerabile.

3. Aggiorna con il pacchetto indicato nel bollettino di Microsoft, un server alla volta se lavori in un gruppo di disponibilità, partendo da quelli raggiungibili da Internet. Microsoft raccomanda di installare gli aggiornamenti di sicurezza di Exchange da una sessione con privilegi di amministratore.

4. Ricontrolla la build dopo l’installazione e verifica che Outlook sul web e la posta funzionino.

5. Controlli generali, in attesa di dettagli tecnici: gli avvisi non danno indicatori da cercare, ma puoi rivedere le modifiche amministrative recenti con Search-AdminAuditLog, i nuovi membri dei gruppi di ruolo privilegiati (come Organization Management) e le autorizzazioni aggiunte di recente sulle caselle di posta.

6. Segui gli aggiornamenti: se Microsoft o gli enti segnalassero uno sfruttamento attivo, la priorità sale e potrebbero arrivare indicatori da cercare nei log.

Come aiuta ARXDOME

ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto sulle macchine monitorate, con quelle già sfruttate in evidenza, e ne mostra l’età: aiuta a tenere traccia dei server ancora da aggiornare. ARX Expose mostra quali servizi la tua azienda espone su Internet e quali prodotti vi sono riconosciuti, utile per sapere se un server Exchange è raggiungibile da fuori. ARX Sentry, nelle pagine SOC dedicate alle identità, mostra gli accessi privilegiati e le modifiche agli account.

Ultimo aggiornamento: 6 ottobre 2026