Microsoft publie un correctif hors cycle pour Exchange face à l’exposition des boîtes mail

Microsoft a publié une mise à jour de sécurité hors cycle pour Exchange Server afin de corriger la vulnérabilité CVE-2026-96940. Cette faille importante permet à des attaquants authentifiés de lire les courriels et les pièces jointes d'autres comptes au sein de la même organisation.

Risque d'élévation de privilèges en interne

L'équipe d'Exchange Server a découvert la vulnérabilité lors de tests internes et indique qu'aucune preuve d'exploitation active n'a été constatée. Toutefois, Microsoft invite les administrateurs système à appliquer la mise à jour rapidement, soulignant que cette vulnérabilité pourrait être exploitée de manière systématique et que des failles similaires d'accès aux boîtes aux lettres ont déjà été ciblées par des acteurs malveillants par le passé.

La faille de sécurité est strictement limitée aux environnements internes. Microsoft a précisé que le problème ne permet pas d'accès non autorisé aux données au-delà des limites de chaque organisation.

Séquence de déploiement involontaire du correctif

Ce correctif hors cycle fait suite à un déploiement côté service effectué sur Exchange Online à la fin de la semaine dernière, qui a surpris les administrateurs système en raison de l'absence de documentation d'accompagnement dans la base de connaissances.

Microsoft a ensuite reconnu la confusion, expliquant que le déploiement a devancé le calendrier initialement prévu. L'entreprise n'a pas précisé la cause de cette publication anticipée.

Plateformes concernées et directives de déploiement

La mise à jour hors cycle, désignée sous le nom de mise à jour v2 de septembre 2026, s'applique à plusieurs versions actives du logiciel. Des correctifs sont disponibles pour Exchange Server Subscription RTM, Exchange Server 2019 (mises à jour cumulatives 14 et 15) et Exchange Server 2016 (mise à jour cumulative 23).

Microsoft recommande d'installer la mise à jour de sécurité sur tous les serveurs Exchange locaux ainsi que sur les postes clients exécutant les outils de gestion Exchange Management Tools afin d'éviter tout problème de compatibilité de version.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Out-of-band Exchange Server update fixes high-severity mailbox access bug (CVE-2026-96940)