A Microsoft disponibilizou atualizações de segurança de emergência para corrigir a vulnerabilidade crítica CVE-2026-96940, que afeta várias versões do Exchange Server local. A falha de autorização permite a elevação de privilégios, possibilitando que atacantes autenticados acedam a caixas de correio de outros utilizadores na mesma organização através da rede.
O problema afeta o Exchange Server Subscription Edition RTM (build 15.02.2562.053, KB5129955), o Exchange Server 2016 Cumulative Update 23 (build 15.01.2507.075, KB5129958) e o Exchange Server 2019 nas compilações Cumulative Update 15 (build 15.02.1748.053, KB5129956) e Cumulative Update 14 (build 15.02.1544.048, KB5129957). Os administradores de sistemas devem aplicar as respetivas correções com urgência para mitigar a ameaça.
Âmbito da vulnerabilidade e programa ESU
A falha foi identificada internamente antes de ser tornada pública, o que levou a empresa a lançar uma segunda versão (V2) da atualização de segurança de setembro para se antecipar a potenciais explorações por cibercriminosos. Em contrapartida, os serviços no Exchange Online encontram-se protegidos de forma automática, sem exigir intervenção administrativa.
As atualizações para o Exchange Server 2016 e 2019 estão restritas às organizações inscritas no programa Period 2 Extended Security Update (ESU), válido entre maio e outubro de 2026. Os clientes que não aderiram ao programa ESU precisam de migrar para o Exchange Server SE para manterem a conformidade de segurança das suas infraestruturas.
Problemas conhecidos e recomendações de instalação
Apesar da importância da correção, a atualização introduz alguns problemas conhecidos. Entre eles está a ocorrência de erros HTTP 500 ao aceder a ficheiros de calendário .ics publicados e bloqueios no motor ContentEngine ao processar itens de correio no idioma coreano. A Microsoft confirmou que estes problemas serão resolvidos em futuras atualizações.
Para proceder à instalação de forma segura, os administradores devem executar o script Exchange Server Health Checker para identificar as atualizações pendentes, descarregar os pacotes cumulativos adequados e proceder à instalação. Após a conclusão do processo, é necessário reiniciar os servidores, verificar o arranque correto dos serviços do Exchange e, caso surjam erros, executar o script SetupAssist.
Nenhum comentário
Seja o primeiro!