Śledź Microsoft wydał poza harmonogramem aktualizację zabezpieczeń, która dotyczy CVE-2026-96940, luki o wysokiej wadze w Microsoft Exchange Server, która może pozwolić uwierzytelnionym atakującym na dostęp do skrzynek pocztowych innych użytkowników oraz czytanie wrażliwych e-maili i załączników. Luka posiada wynik CVSS wynoszący 8.8 i wpływa na wiele wersji Exchange Server działających lokalnie.
Luka ta pojawia się w obliczu rosnących obaw dotyczących zabezpieczeń infrastruktury e-mail w przedsiębiorstwach, która pozostaje celem o wysokiej wartości dla cyberprzestępców poszukujących wrażliwych informacji i nieautoryzowanego dostępu. Chociaż Microsoft nie zaobserwował aktywnego wykorzystania luki, firma oceniła, że jej wykorzystanie jest bardziej prawdopodobne, podkreślając znaczenie szybkiego stosowania łatek.
Aby wzmocnić obronę przed nowo pojawiającymi się zagrożeniami, organizacje mogą wykorzystać AI-Native Detection Intelligence Platform od SOC Prime, aby przyspieszyć inżynierię wykrywania, badać podejrzane działania i poprawić widoczność w całej swojej infrastrukturze bezpieczeństwa.
Zespoły ds. bezpieczeństwa mogą korzystać z Uncoder AI do tworzenia i udoskonalania logiki wykrywania, przekształcania informacji o zagrożeniach w zapytania do polowań oraz tłumaczenia treści wykrywania na ponad 40 formatów SIEM, EDR i Data Lake.
Analiza CVE-2026-96940
Według poradnika bezpieczeństwa Microsoft, luka wynika z słabych mechanizmów autoryzacji w Exchange Server. Usterka pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień w sieci i potencjalny dostęp do skrzynek pocztowych innych użytkowników w tej samej organizacji.
W przeciwieństwie do luk wymagających nieautoryzowanego zdalnego dostępu, ten problem opiera się na atakującym, który już posiada ważną autoryzację. Jednakże, udane wykorzystanie luki mogłoby obejść normalne ograniczenia dostępu do skrzynek pocztowych, pozwalając złośliwym aktorom na uzyskanie wrażliwej korespondencji i załączników bez autoryzacji.
CVE-2026-96940 wpływa na następujące wersje Exchange Server działające lokalnie:
- Microsoft Exchange Server Subscription Edition (SE) RTM
- Microsoft Exchange Server 2019 CU14
- Microsoft Exchange Server 2019 CU15
- Microsoft Exchange Server 2016 CU23
Luka nie umożliwia dostępu do skrzynek pocztowych między najemcami. Microsoft wdrożył również poprawkę po stronie usługi dla Exchange Online, co oznacza, że klienci korzystający z tej usługi w chmurze są już chronieni. Jednak organizacje utrzymujące lokalne lub hybrydowe środowiska Exchange muszą nadal zastosować odpowiednie aktualizacje.
Microsoft wewnętrznie zidentyfikował lukę, przypisując odkrycie badaczowi Janowi Mitchellowi. Firma publicznie ujawniła ten problem 2 października 2026 roku, wraz z zaktualizowanymi aktualizacjami zabezpieczeń Exchange Server z września 2026 roku, wersja V2.
Zaktualizowane wydanie zawiera dodatkowe zabezpieczenia oprócz tych dostarczonych w pierwotnej aktualizacji z września. Zgodnie z CyberPress, organizacje obsługujące Exchange Server 2016 i 2019 muszą być zapisane do programu Microsoft Period 2 Extended Security Update, aby otrzymać odpowiednie poprawki.
W momencie publikacji Microsoft nie potwierdził wykorzystania luki w rzeczywistych atakach. Cytowane porady również nie dostarczają publicznie zweryfikowanego CVE-2026-96940 PoC, ograniczając dostępne informacje techniczne dotyczące procesu wykorzystania.
Niemniej jednak, nieautoryzowany dostęp do skrzynek pocztowych może mieć poważne konsekwencje dla bezpieczeństwa przedsiębiorstwa. Atakujący mogą potencjalnie uzyskać poufne komunikacje biznesowe, dokumenty finansowe, wiadomości związane z uwierzytelnianiem i inne wrażliwe informacje przechowywane w zaatakowanych skrzynkach pocztowych.
W przypadku wykrywania CVE-2026-96940, zespoły ds. bezpieczeństwa powinny priorytetowo monitorować podejrzane wzorce dostępu do skrzynek pocztowych, nieoczekiwaną aktywność uwierzytelniania i potencjalne nadużycie uprawnień w środowiskach Exchange.
Łagodzenie CVE-2026-96940
Microsoft rozwiązał tę lukę dzięki aktualizacjom zabezpieczeń Exchange Server z września 2026 roku, wersja V2, opublikowanym 2 października 2026 roku. Organizacje obsługujące dotknięte lokalne instalacje powinny priorytetowo wdrażać najnowsze dostępne aktualizacje zabezpieczeń.
Według Wytyczne Microsoft dotyczące aktualizacji Exchange Server, administratorzy powinni zweryfikować wersje swojego Exchange Server, zainstalować odpowiednie aktualizacje i potwierdzić pomyślną instalację za pomocą narzędzia Exchange Server Health Checker.
Organizacje powinny również upewnić się, że wdrożenia hybrydowe Exchange i systemy korzystające z Exchange Management Tools otrzymują niezbędne aktualizacje zabezpieczeń.
Dodatkowe zalecenia bezpieczeństwa obejmują egzekwowanie silnej autoryzacji, przeglądanie uprawnień do skrzynek pocztowych, monitorowanie nietypowych prób dostępu i stosowanie zasad najmniejszych uprawnień w środowiskach Exchange.
Aby wykrywać eksploatację CVE-2026-96940, zespoły ds. bezpieczeństwa powinny badać nieoczekiwany dostęp do skrzynek pocztowych innych użytkowników i korelować dzienniki audytów Exchange z wydarzeniami uwierzytelniania i aktywnością konta. Takie zachowanie może wspierać polowanie na zagrożenia, chociaż nie jest to konkretny dowód na wyeksploatowanie tej luki.
Ponieważ Microsoft nie opublikował specyficznych dla ataków IOCs dla CVE-2026-96940 w swoim wstępnym poradniku, obrońcy powinni skupić się na monitorowaniu zachowań i być na bieżąco z nowo ujawnionymi technikami eksploatacji.
Dodatkowo, wykorzystując AI-Native Detection Intelligence Platform od SOC Prime, organizacje mogą usprawnić inżynierię wykrywania zagrożeń, poprawić przepływy pracy dotyczące dochodzeń i wzmocnić swoją postawę obronną przed nowo pojawiającymi się zagrożeniami Exchange Server.
FAQ
Czym jest CVE-2026-96940 i jak działa?
CVE-2026-96940 to luka wysokiego ryzyka polegająca na eskalacji uprawnień w Microsoft Exchange Server spowodowana słabą autoryzacją. Pozwala ona uwierzytelnionemu atakującemu na nieautoryzowany dostęp do skrzynek pocztowych innych użytkowników w tej samej organizacji oraz potencjalnie na czytanie ich e-maili i załączników.
Kiedy CVE-2026-96940 został pierwszy raz odkryty?
Microsoft zidentyfikował tę lukę wewnętrznie i przypisał jej odkrycie badaczowi Jan Mitchell. Dokładna data odkrycia nie została publicznie określona. Microsoft po raz pierwszy ujawnił tę usterkę 2 października 2026 roku, kiedy opublikowano aktualizację zabezpieczeń poza harmonogramem.
Jaki jest wpływ CVE-2026-96940 na systemy?
Udane wykorzystanie luki może pozwolić atakującym na obejście granic autoryzacji skrzynek pocztowych i dostęp do wrażliwych komunikacji organizacyjnych. Może to ujawnić poufne e-maile, załączniki, informacje finansowe i inne dane biznesowe. Luka nie umożliwia dostępu pomiędzy najemcami.
Czy CVE-2026-96940 wciąż może mnie dotknąć w 2026 roku?
Tak. Organizacje uruchamiające podatne instalacje Exchange Server, które nie zastosowały aktualizacji zabezpieczeń V2 z 2 października 2026 roku, mogą pozostać narażone. Microsoft nie zgłosił aktywnego wykorzystania luki na dzień 6 października 2026 roku, ale uważa, że przyszłe wykorzystanie jest bardziej prawdopodobne.
Jak mogę się chronić przed CVE-2026-96940?
Zastosuj najnowsze dostępne aktualizacje zabezpieczeń Microsoft Exchange Server V2 i zweryfikuj instalację za pomocą narzędzia Exchange Server Health Checker. Organizacje powinny również wzmacniać kontrolę dostępu, monitorować podejrzaną aktywność skrzynek pocztowych i przeglądać najnowsze szczegóły dotyczące CVE-2026-96940 w Przewodniku po aktualizacjach zabezpieczeń Microsoft.
