Actualizaciones de seguridad de Exchange de octubre de 2026: seis vulnerabilidades y última actualización para Exchange 2016 y 2019

Microsoft publicó el 13 de octubre de 2026 actualizaciones de seguridad (SU) para Exchange Server SE, Exchange 2019 y Exchange 2016. Según los artículos de KB, corrigen seis vulnerabilidades. Ninguna era conocida públicamente de antemano y, según la Security Update Guide, ninguna se está explotando activamente. Sin embargo, Microsoft clasifica dos como «Exploitation More Likely», incluida una ejecución remota de código calificada como Critical que un atacante no autenticado puede desencadenar con un correo electrónico manipulado. Este mes es especial por dos motivos: la SU resuelve los dos problemas conocidos pendientes de las actualizaciones de septiembre (HTTP 500 en calendarios publicados y el bloqueo de ContentEngine en Exchange SE), y para Exchange 2016 y 2019 es, según Microsoft, la última actualización de seguridad, también para los clientes del programa Period 2 ESU.

Para qué versiones de Exchange está disponible la actualización

Las SU del 13 de octubre de 2026 están disponibles para las siguientes versiones:

• Exchange Server Subscription Edition (SE) RTM: KB5128895, compilación 15.2.2562.56; disponible públicamente.
• Exchange Server 2019 CU15: KB5128896, compilación 15.2.1748.55; solo mediante el programa Period 2 ESU.
• Exchange Server 2019 CU14: KB5128897, compilación 15.2.1544.50; solo mediante Period 2 ESU.
• Exchange Server 2016 CU23: KB5128898, compilación 15.1.2507.77; solo mediante Period 2 ESU.

Puede comparar su versión actual con la lista de números de compilación de Exchange.

Exchange 2016 y 2019 están fuera de soporte. Según los artículos de KB, las organizaciones incluidas en el programa Period 2 ESU reciben actualizaciones de seguridad hasta finales de octubre de 2026; todas las demás deben migrar a Exchange SE. Según el anuncio, Exchange Online ya está protegido; aun así, en entornos híbridos cada servidor de Exchange necesita la SU, incluidos los servidores exclusivamente de administración y las máquinas con las Exchange Management Tools. Lo que significa concretamente el final de ESU se explica en la sección Última actualización para Exchange 2016 y 2019.

Resumen de las vulnerabilidades

Los cuatro artículos de KB enumeran las mismas seis CVE. Sin embargo, en la Security Update Guide falta Exchange 2019 CU15 para CVE-2026-87692; allí solo figuran Exchange SE, 2019 CU14 y 2016 CU23 como afectados (a 14 de octubre de 2026). Frankys Web interpreta que 2019 CU15 no está afectado por esta vulnerabilidad. Para la instalación, la diferencia no importa, ya que la SU para CU15 corrige de todos modos todas las demás vulnerabilidades.

CVE-2026-70571 es la única vulnerabilidad del mes que Microsoft clasifica como Critical (ejecución remota de código, CVSS 8.1). La causa es un desbordamiento de búfer basado en pila. Según las preguntas frecuentes de la Security Update Guide, un atacante no autenticado puede enviar un correo electrónico manipulado a un servidor de Exchange afectado y desencadenar así un proceso de conversión interno; no se requiere interacción del usuario. Según el vector CVSS, la complejidad del ataque es alta (AC:H); Microsoft indica que no se garantiza una explotación satisfactoria y que requiere un conocimiento profundo del entorno objetivo. Aun así, Microsoft valora la explotación como «Exploitation More Likely». El atacante no necesita una cuenta en la organización; basta con que el servidor acepte correos.

CVE-2026-70279 tiene el valor más alto, con CVSS 9.3, y también está clasificada como «Exploitation More Likely». Se trata de un Cross-Site-Scripting: un atacante no autenticado envía un enlace manipulado; si un administrador lo abre, el atacante puede ejecutar acciones con sus permisos y, de este modo, acceder a los datos de la organización o modificarlos. Según las preguntas frecuentes, esto requiere interacción del usuario, normalmente mediante ingeniería social. La gravedad es Important.

CVE-2026-77910 (elevación de privilegios, CVSS 8.8) solo requiere una cuenta con pocos permisos. Según las preguntas frecuentes, un atacante puede manipular una caché compartida del Exchange Control Panel y hacer que se instale un complemento de correo malicioso en el buzón de otro usuario, sin que este tenga que hacer nada. Microsoft describe la misma vía de ataque para CVE-2026-87696 (CVSS 7.5), en este caso como consecuencia de una comprobación insuficiente de firmas criptográficas y con alta complejidad de ataque.

Las dos vulnerabilidades restantes, CVE-2026-87692 (deserialización de datos no confiables) y CVE-2026-87695, son elevaciones locales de privilegios con CVSS 7.8: según Microsoft, un atacante autenticado con pocos permisos puede obtener privilegios SYSTEM. Ambas están clasificadas como «Exploitation Less Likely», al igual que CVE-2026-77910 y CVE-2026-87696.

Sobre CVE-2026-96940 de la v2 de septiembre: el anuncio de octubre no menciona la v2. Según las preguntas frecuentes del anuncio, las SU son acumulativas; quien esté en una CU compatible solo instala la SU más reciente. Frankys Web confirma que la SU de octubre incluye la corrección de la v2. Por tanto, los servidores que aún ejecutan la primera SU de septiembre, del 8 de septiembre, pueden instalar directamente la SU de octubre; los detalles sobre la v2 están en el artículo sobre la v2 de septiembre.

Última actualización para Exchange 2016 y 2019

El anuncio es claro en este punto: octubre de 2026 es el último mes en el que los clientes del programa Period 2 ESU reciben nuevas actualizaciones de seguridad para Exchange 2016 y 2019. A partir de la siguiente versión, las actualizaciones solo se publicarán para Exchange SE. Los futuros anuncios y avisos de CVE dejarán de mencionar 2016 y 2019, y Microsoft escribe expresamente: «We will stop testing Exchange 2016 and 2019 for vulnerabilities.» Por tanto, que una CVE no mencione estas versiones no significa que no estén afectadas; Microsoft recalca en el anuncio que las versiones antiguas no se vuelven seguras por ello. Frankys Web también señala que Exchange SE y 2019 CU15 son técnicamente muy similares, por lo que futuras vulnerabilidades de SE probablemente afectarán también a 2019.

Según el anuncio, Period 2 ESU aún se puede comprar durante un tiempo limitado. Sin embargo, eso solo lleva a una organización al nivel de la actualización de octubre de 2026; no habrá más actualizaciones. Según los artículos de KB, quien ya haya adquirido una ESU y tenga preguntas sobre el acceso puede contactar con ExchangeandSfBServerESUInquiry@service.microsoft.com.

Para la operación, esto significa:

1. Exchange 2016 y 2019 con ESU: instale la SU de octubre. Después, la versión queda congelada y todas las vulnerabilidades que se conozcan posteriormente quedarán sin corregir.

2. Exchange 2016 y 2019 sin ESU: estos servidores no reciben actualizaciones de seguridad desde mayo de 2026. Microsoft recomienda migrar a Exchange SE lo antes posible.

3. Entornos híbridos: además de la falta de parches, Exchange Online limita y bloquea el flujo de correo procedente de servidores locales obsoletos; las reglas se detallan en el artículo sobre la aplicación de reglas de transporte.

Problemas corregidos y qué debe hacer después

Los calendarios publicados (.ics) devuelven HTTP 500 a aplicaciones de calendario (todas las versiones). El problema existente desde la SU de agosto queda resuelto con la SU de octubre; KB5126672 ahora indica como solución la instalación de las cuatro actualizaciones de octubre o de versiones posteriores. El artículo de soporte ya no describe la solución temporal anterior de reescritura de URL en el sitio «Exchange Back End», y Microsoft no proporciona instrucciones para eliminar la regla (a 14 de octubre de 2026). Si configuró la regla, documente en qué servidores está activa y pruebe una suscripción de calendario antes de eliminarla.

Bloqueo de ContentEngine debido a archivos de reglas WordBreaker coreanos ausentes (solo Exchange SE). Según KB5130098, el problema se corrige con KB5128895 o una actualización posterior y, tras instalar la actualización de octubre, no es necesaria «no additional action». Esto también se aplica a los servidores en los que aplicó la solución manual del artículo de septiembre: Microsoft no exige revertir los archivos de reglas copiados. Los servidores sin solución temporal ya no necesitan añadir los archivos manualmente.

Libre/ocupado para buzones delegados en entornos híbridos con configuración exclusiva de Graph API (solo Exchange SE). La SU de octubre no corrige este problema: KB5127092 informa ahora: «The issue has been fixed in the service». Con ello queda resuelta la contradicción del artículo sobre la v2. Si estableció la solución temporal, reviértala según KB5127092:

Get-SettingOverride -Identity EnableRouteThroughMSGraphFeature
Set-SettingOverride -Identity EnableRouteThroughMSGraphFeature -Parameters "Enabled=True"
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

Después, compruebe la consulta de libre/ocupado de un buzón delegado de Exchange Online desde Outlook u OWA.

Problemas conocidos

Ni el anuncio ni los cuatro artículos de KB mencionan problemas conocidos para la SU de octubre (a 14 de octubre de 2026). El 15 de octubre de 2026, Microsoft complementó el anuncio: las actualizaciones de Windows Server de octubre de 2026 pueden provocar que los servidores de Exchange fallen tras aproximadamente un día con MapiExceptionMdbOffline (ec=1142), incluso sin tener instalada una SU de Exchange. Los síntomas y el procedimiento se describen en el artículo sobre las interrupciones de Exchange tras las actualizaciones de Windows. Con ello quedan resueltos los tres problemas pendientes de las actualizaciones de septiembre: dos mediante la SU de octubre y uno mediante una corrección en Exchange Online (véase arriba). El problema del wrapper en buzones compartidos ya se había corregido con la SU de septiembre.

Instalación y tareas posteriores

Microsoft indica en el anuncio el procedimiento habitual: inventariar con el Exchange Health Checker, determinar la ruta con el Exchange Update Wizard si la CU está obsoleta, instalar la SU, reiniciar el servidor y comprobar que se ejecuten todos los servicios de Exchange. En caso de errores, Microsoft remite al script SetupAssist. Según KB5128895, tras la instalación el Health Checker indica si la SU se instaló correctamente y si se requieren pasos adicionales. La Security Update Guide no indica un reinicio obligatorio para las compilaciones de octubre; aun así, el anuncio lo recomienda después de la configuración.

Según KB5128895, el archivo de instalación para Exchange SE se llama ExchangeSubscriptionEdition-KB5128895-x64-en.exe (Download Center: «SU11»), para Exchange 2019 CU15 Exchange2019-KB5128896-x64-en.exe, para CU14 Exchange2019-KB5128897-x64-en.exe y para Exchange 2016 Exchange2016-KB5128898-x64-en.exe. Los paquetes son específicos de cada CU.

Según las preguntas frecuentes, para entornos híbridos se aplica lo siguiente: si se cambia el certificado de autenticación tras instalar una SU, debe ejecutarse de nuevo el Hybrid Configuration Wizard. En Windows Server 2025, las SU de Exchange instaladas no aparecen en el Panel de control; Microsoft desaconseja desinstalar las SU.

De los meses anteriores quedan pendientes estas tareas, si aún no se han realizado: eliminar la SettingOverride del wrapper DisableBlockSharedAndUserMailboxHeaders (véase el artículo de septiembre) y comprobar si la mitigación de CVE-2026-42897 (M2.1.0) sigue activa (véase el artículo sobre la SU de julio).

Procedimiento recomendado

Instale cuanto antes la SU de octubre en todos los servidores de Exchange y las máquinas con Management Tools: la ejecución remota de código crítica CVE-2026-70571 puede desencadenarse mediante un correo electrónico sin necesidad de una cuenta, y Microsoft considera más probable su explotación, al igual que la del Cross-Site-Scripting CVE-2026-70279. Con ello, los servidores con la primera SU de septiembre también reciben la corrección para CVE-2026-96940. Después, revierta la invalidación de libre/ocupado si se estableció y compruebe los calendarios publicados. Para Exchange 2016 y 2019, esta es la última actualización; planifique ahora la migración a Exchange SE, ya que a partir de noviembre estos servidores no recibirán más actualizaciones de seguridad.