Sårbarhet i Microsoft Exchange kan blottlägga brevlådor i en hel organisation

Microsoft har släppt en säkerhetsuppdatering för CVE-2026-96940, en sårbarhet med hög allvarlighetsgrad i Microsoft Exchange Server. Sårbarheten har fått betyget 8.8/10. National Vulnerability Database beskriver den som svag behörighetskontroll som gör det möjligt för en autentiserad angripare att höja sina privilegier över ett nätverk.

Angriparen behöver redan ha autentiserad åtkomst för att utnyttja sårbarheten. Enligt Microsoft kan en användare med låga privilegier höja sina privilegier i Exchange och komma åt andra personers brevlådor inom samma organisation. Sårbarheten ger inte åtkomst mellan klientorganisationer, och Microsofts beskrivna scenario ger inte administratörs- eller SYSTEM-behörighet på den underliggande Windows-servern.

Microsoft uppger att det inte finns några belägg för att angripare har utnyttjat sårbarheten. Företaget har ändå klassat exploatering som ”mer sannolik”. Uppdateringen släpptes den 2 oktober som en del av September 2026 V2 Exchange Server Security Updates, före den planerade tidpunkten. Microsoft säger att den viktigaste skillnaden mot de ursprungliga uppdateringarna den 8 september är åtgärden för CVE-2026-96940.

Användare av Exchange Online omfattas redan av en relaterad korrigering på tjänstesidan. Microsoft säger att organisationer med lokalt installerad Exchange Server bör installera den senaste uppdateringen. Berörda versioner är Exchange Server Subscription Edition RTM, Exchange Server 2016 Cumulative Update 23 samt Exchange Server 2019 Cumulative Update 15 och 14. Supporten för 2016- och 2019-produkterna upphörde förra året. Microsoft uppger att säkerhetsuppdateringar för dem är tillgängliga för organisationer som deltar i Period 2 Extended Security Update-programmet, som omfattar uppdateringar från maj till slutet av oktober 2026. Administratörer kan efter installationen köra Microsoft Exchange Server Health Checker för att kontrollera uppdateringen och se om fler åtgärder behövs.