Microsoft, Microsoft Exchange Server'daki yüksek önem dereceli CVE-2026-96940 güvenlik açığı için bir güncelleme yayımladı. Açığın önem derecesi 8.8/10 olarak belirlendi. National Vulnerability Database, açığı ağ üzerinden kimliği doğrulanmış bir saldırganın ayrıcalıklarını yükseltmesine olanak tanıyan zayıf yetkilendirme olarak tanımlıyor.
Açığın kullanılabilmesi için saldırganın önceden kimliği doğrulanmış erişime sahip olması gerekiyor. Microsoft'a göre düşük ayrıcalıklı bir kullanıcının Exchange içindeki ayrıcalıklarını yükseltmesine ve aynı kuruluştaki diğer kişilerin posta kutularına erişmesine olanak tanıyabilir. Açık, kiracılar arası erişim sağlamıyor; Microsoft'un açıkladığı senaryoda temel Windows sunucusunda yönetici veya SYSTEM düzeyinde ayrıcalıklar da verilmiyor.
Microsoft, açığın saldırganlar tarafından kullanıldığına dair kanıt bulunmadığını söylüyor. Buna rağmen şirket, istismar olasılığını “daha yüksek” olarak nitelendirdi. Yamayı 2 Ekim'de, September 2026 V2 Exchange Server Security Updates kapsamında ve planlanan tarihten önce yayımladı. Microsoft, ilk 8 Eylül güncellemelerinden temel farkın CVE-2026-96940 düzeltmesi olduğunu belirtiyor.
Exchange Online kullanıcıları, ilgili hizmet tarafı düzeltmesiyle zaten korunuyor. Microsoft, şirket içi Exchange Server kullanan kuruluşların en son güncellemeyi yüklemesi gerektiğini söylüyor. Etkilenen sürümler Exchange Server Subscription Edition RTM, Exchange Server 2016 Cumulative Update 23 ve Exchange Server 2019 Cumulative Update 15 ile 14. 2016 ve 2019 ürünlerinin desteği geçen yıl sona erdi. Microsoft, bu ürünlere yönelik güvenlik güncellemelerinin Mayıs'tan Ekim 2026 sonuna kadar yayımlanan güncellemeleri kapsayan Period 2 Extended Security Update programına kayıtlı kuruluşlara sunulduğunu belirtiyor. Yöneticiler, yüklemeden sonra güncellemeyi doğrulamak ve başka işlem gerekip gerekmediğini görmek için Microsoft Exchange Server Health Checker'ı çalıştırabilir.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.