Уязвимость повышения привилегий в Microsoft Exchange Server (CVE-2026-96940)

В начале 2026 года в списке CVE Project появилась запись о новой уязвимости в почтовом сервере Microsoft Exchange Server. Проблема получила идентификатор CVE-2026-96940 и классифицирована как повышение привилегий. Учитывая широкое распространение Exchange в корпоративной инфраструктуре, эта уязвимость заслуживает пристального внимания администраторов и специалистов по информационной безопасности.

Подробности

Уязвимость затрагивает следующие версии продукта:

• Microsoft Exchange Server 2016 Cumulative Update 23;
• Microsoft Exchange Server 2019 Cumulative Update 14;
• Microsoft Exchange Server 2019 Cumulative Update 15;
• Microsoft Exchange Server Subscription Edition RTM.

Тип уязвимости — слабая авторизация (weak authorization). Согласно описанию, аутентифицированный злоумышленник может повысить свои привилегии, действуя по сети. Иными словами, для эксплуатации атакующему необходим действующий аккаунт в целевой среде, однако полученные в результате привилегии позволяют выйти за рамки изначально предоставленных прав.

Уровень опасности по шкале CVSS составляет 8.8 из 10, что соответствует высокой критичности. Такой балл обычно означает возможность существенного воздействия на конфиденциальность, целостность и доступность системы при относительно невысокой сложности эксплуатации. В случае с почтовым сервером это особенно чувствительно: Exchange хранит переписку, контакты, календари и тесно интегрирован с доменом Active Directory, поэтому компрометация учётной записи с повышенными правами может открыть путь к дальнейшему развитию атаки внутри инфраструктуры.

На момент публикации записи CVE сведения о наличии публичного эксплойта или о фактах активной эксплуатации в описании не приводятся. Тем не менее уязвимости класса elevation of privilege в Exchange традиционно привлекают внимание как злоумышленников, так и исследователей.

Что делать

Основная рекомендация — как можно скорее установить обновления безопасности, выпущенные Microsoft для затронутых версий Exchange Server. Администраторам следует проверить актуальность установленных кумулятивных обновлений и применить доступные патчи в согласованном порядке, предварительно протестировав их на тестовом контуре, если это возможно.

До момента установки обновлений целесообразно применить компенсирующие меры:

• ограничить сетевой доступ к серверам Exchange, закрыв лишние порты и сервисы от внешних и недоверенных сегментов;
• провести ревизию учётных записей и их прав, удалив избыточные привилегии и отключив неиспользуемые аккаунты;
• усилить мониторинг событий безопасности, обращая внимание на аномальные действия с учётными записями и необычные обращения к серверу;
• включить многофакторную аутентификацию для доступа к почтовым сервисам и административным интерфейсам.

Также стоит отслеживать официальные бюллетени Microsoft и обновления записи CVE — по мере появления новой информации перечень рекомендаций может расширяться.

Итог. CVE-2026-96940 — высококритичная уязвимость повышения привилегий в Microsoft Exchange Server, затрагивающая актуальные ветки 2016, 2019 и Subscription Edition. Аутентифицированный атакующий может расширить свои права по сети, что создаёт серьёзные риски для корпоративной почтовой инфраструктуры. Ключевая мера защиты — своевременная установка обновлений Microsoft в сочетании с ограничением доступа, ревизией прав и усиленным мониторингом.

Источник: CVE Project (cvelistV5)