Exchange Server: patch în afara ciclului pentru CVE-2026-96940

Vineri, 2 octombrie 2026, Microsoft a publicat un buletin de securitate despre CVE-2026-96940, o vulnerabilitate de escaladare de privilegii în Microsoft Exchange Server. Lansarea a venit în afara obișnuitului ciclu lunar din a doua zi de marți a lunii, care în octombrie cade pe 13.

Pe 5 octombrie au publicat avertizări CERT-FR (CERTFR-2026-AVI-1258) și Canadian Centre for Cyber Security (AV26-1001), iar pe 6 octombrie NCSC-NL (NCSC-2026-0401). Versiunile afectate indicate de aceste instituții coincid.

Ce s-a întâmplat

Potrivit CERT-FR, vulnerabilitatea îi permite unui atacator să obțină privilegii mai ridicate pe Exchange Server. Microsoft o descrie ca „Microsoft Exchange Server Elevation of Privilege Vulnerability”. NCSC-NL și-a clasificat avertizarea drept M/H, adică probabilitate medie și impact ridicat.

CERT-FR trimite la buletinul producătorului pentru corecții; Canadian Centre îi îndeamnă pe administratori și pe utilizatori să consulte buletinul și să aplice actualizările necesare.

Detalii tehnice

• CVE: CVE-2026-96940.
• Tipul defectului: escaladare de privilegii.
• Buletinul producătorului: Microsoft Security Update Guide, 2 octombrie 2026.
• Versiuni afectate (toate build-urile anterioare celui indicat, potrivit CERT-FR și Canadian Centre):
  • Exchange Server 2016 Cumulative Update 23: build-uri anterioare lui 15.01.2507.075;
  • Exchange Server 2019 Cumulative Update 14: build-uri anterioare lui 15.02.1544.048;
  • Exchange Server 2019 Cumulative Update 15: build-uri anterioare lui 15.02.1748.053;
  • Exchange Server Subscription Edition RTM: build-uri anterioare lui 15.02.2562.053.
• MITRE ATT&CK: exploatarea unei vulnerabilități pentru a obține privilegii mai mari corespunde, în general, tehnicii T1068 (Exploitation for Privilege Escalation).

Avertizările disponibile nu precizează scorul CVSS, vectorul de atac, dacă sunt necesare credențiale pentru exploatare și nici dacă vulnerabilitatea este deja exploatată. Nu conțin nici indicatori de compromitere. Pentru aceste detalii, referința este buletinul Microsoft, pe care merită să îl verifici din nou în zilele următoare, în caz că este actualizat.

Instituțiile enumeră doar aceste patru ramuri. Dacă un server are un alt cumulative update, pentru el nu este indicat niciun build corectat: verifică în buletinul Microsoft cum îl aduci la o versiune actualizată.

Impactul pentru companiile europene și italiene

Un Exchange Server instalat în companie conține e-mailul întregii organizații și este adesea integrat cu Active Directory. De aceea, o escaladare de privilegii pe aceste servere merită atenție chiar și atunci când, ca în acest caz, lipsesc încă detaliile despre exploatare: clasificarea NCSC-NL indică un impact potențial ridicat.

Problema îi privește și pe cei care și-au mutat căsuțele poștale în Microsoft 365, dar păstrează un server Exchange local pentru administrarea unui mediu hibrid: și acel server trebuie actualizat.

Pentru entitățile care intră sub incidența NIS2 (în Italia, Decretul legislativ 138/2024), gestionarea vulnerabilităților face parte din măsurile de securitate cerute: aplicarea actualizării și documentarea momentului și a serverelor pe care a fost făcută ajută la demonstrarea acestui lucru. Dacă ar apărea urme de compromitere, incidentul trebuie evaluat pentru notificarea către CSIRT-ul național; în Italia, acesta este CSIRT Italia al ACN.

Ce ai de făcut acum

1. Inventar: identifică toate serverele Exchange locale, inclusiv cele de test și cele păstrate doar pentru administrarea mediului hibrid.

2. Verifică build-ul fiecărui server. Din Exchange Management Shell, comanda documentată de Microsoft pentru a citi build-ul instalat, inclusiv actualizările de securitate, este:

   Get-Command Exsetup.exe | ForEach-Object { $_.FileVersionInfo }

   Compară valoarea cu build-ul indicat pentru ramura ta în lista de detalii tehnice: dacă este mai mic, serverul este vulnerabil.

3. Actualizează cu pachetul indicat în buletinul Microsoft, câte un server pe rând dacă folosești un grup de disponibilitate a bazelor de date, începând cu cele accesibile din Internet. Microsoft recomandă instalarea actualizărilor de securitate Exchange dintr-o sesiune cu privilegii de administrator.

4. Verifică din nou build-ul după instalare și asigură-te că Outlook pe web și fluxul de e-mail funcționează.

5. Verificări generale, până la apariția detaliilor tehnice: avertizările nu oferă indicatori de căutat, dar poți revedea modificările administrative recente cu Search-AdminAuditLog, membrii noi ai grupurilor de roluri privilegiate (de exemplu Organization Management) și permisiunile adăugate recent pe căsuțele poștale.

6. Urmărește actualizările: dacă Microsoft sau instituțiile ar semnala o exploatare activă, prioritatea crește și ar putea apărea indicatori de căutat în loguri.

Cum te ajută ARXDOME

ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet pe mașinile monitorizate, le evidențiază pe cele deja exploatate și le arată vechimea: te ajută să urmărești serverele care mai trebuie actualizate. ARX Expose arată ce servicii expune compania ta pe Internet și ce produse sunt recunoscute pe ele, util pentru a afla dacă un server Exchange este accesibil din exterior. ARX Sentry, în paginile SOC dedicate identităților, arată accesele privilegiate și modificările conturilor.

Ultima actualizare: 6 octombrie 2026