Una vulnerabilidad de Microsoft Exchange podría exponer buzones de toda una organización

Microsoft ha publicado una actualización de seguridad para CVE-2026-96940, una vulnerabilidad de gravedad alta en Microsoft Exchange Server. La vulnerabilidad tiene una clasificación de 8,8/10. National Vulnerability Database la describe como una autorización débil que permite a un atacante autenticado elevar sus privilegios a través de una red.

Para explotar la vulnerabilidad, el atacante debe tener acceso autenticado de antemano. Microsoft indica que podría permitir a un usuario con pocos privilegios elevarlos dentro de Exchange y acceder a los buzones de otras personas de la misma organización. La vulnerabilidad no permite el acceso entre organizaciones cliente, y el escenario divulgado por Microsoft no concede privilegios de administrador ni de SYSTEM en el servidor Windows subyacente.

Microsoft afirma que no hay constancia de que los atacantes hayan explotado la vulnerabilidad. Aun así, la empresa ha calificado la explotación como «más probable». Publicó el parche el 2 de octubre como parte de September 2026 V2 Exchange Server Security Updates, antes de la fecha prevista. Microsoft señala que la principal diferencia respecto a las actualizaciones originales del 8 de septiembre es la corrección de CVE-2026-96940.

Los usuarios de Exchange Online ya están cubiertos por una corrección relacionada aplicada en el servicio. Microsoft indica que las organizaciones que utilizan Exchange Server en sus propias instalaciones deben instalar la actualización más reciente. Las versiones afectadas son Exchange Server Subscription Edition RTM, Exchange Server 2016 Cumulative Update 23 y Exchange Server 2019 Cumulative Update 15 y 14. El soporte de los productos de 2016 y 2019 terminó el año pasado. Microsoft afirma que las actualizaciones de seguridad para ellos están disponibles para las organizaciones inscritas en su programa Period 2 Extended Security Update, que cubre las actualizaciones publicadas desde mayo hasta finales de octubre de 2026. Tras la instalación, los administradores pueden ejecutar Microsoft Exchange Server Health Checker para verificarla y determinar si hacen falta otras medidas.