Microsoft lança patch fora de época do Exchange para corrigir exposição de e-mails internos

A Microsoft lançou uma atualização de segurança fora de época para o Exchange Server para corrigir a CVE-2026-96940, uma vulnerabilidade de alta gravidade que permite a invasores autenticados ler e-mails e anexos pertencentes a outras contas na mesma organização.

Risco de elevação de privilégios internos

A equipe do Exchange Server descobriu a vulnerabilidade durante testes internos e relatou que não há evidências de exploração ativa. No entanto, a Microsoft alertou os administradores de sistemas a aplicarem a correção rapidamente, observando que a vulnerabilidade pode ser explorada de forma consistente e que falhas semelhantes de acesso a caixas de correio já foram alvo de agentes de ameaças no passado.

A falha de segurança está estritamente restrita a ambientes internos. A Microsoft esclareceu que o problema não permite o acesso não autorizado a dados além dos limites dos tenants das organizações.

Sequência não intencional de implantação do patch

O patch fora de época segue-se a uma implantação do lado do serviço no Exchange Online no final da semana passada, que inicialmente pegou os administradores de sistemas de surpresa por não vir acompanhada da documentação correspondente na Knowledge Base.

Posteriormente, a Microsoft reconheceu a confusão, explicando que a sequência de lançamento ocorreu antes do cronograma planejado. A empresa não informou a causa da publicação antecipada.

Plataformas afetadas e orientações de implantação

A atualização fora de época, designada como atualização v2 de setembro de 2026, aplica-se a várias versões ativas do software. Os patches estão disponíveis para o Exchange Server Subscription RTM, Exchange Server 2019 Cumulative Updates 14 e 15, e Exchange Server 2016 Cumulative Update 23.

A Microsoft recomenda a instalação da atualização de segurança em todos os servidores Exchange locais (on-premises), bem como em qualquer máquina cliente de gerenciamento que execute as Exchange Management Tools, para evitar problemas de compatibilidade de versão.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Out-of-band Exchange Server update fixes high-severity mailbox access bug (CVE-2026-96940)