Aggiornamenti di sicurezza di Exchange di novembre 2026: nove vulnerabilità, primo aggiornamento solo per Exchange SE

Il 10 novembre 2026 Microsoft ha pubblicato un aggiornamento di sicurezza (SU) per Exchange Server SE. Secondo l’articolo KB, corregge nove vulnerabilità. Nessuna era nota pubblicamente in anticipo e, secondo la Security Update Guide, nessuna viene sfruttata attivamente. Microsoft classifica un’esecuzione di codice in modalità remota come Critical e «Exploitation More Likely»; per sfruttarla è sufficiente un account con privilegi ridotti. Questo mese è particolare per due motivi: è il primo SU pubblicato solo per Exchange SE e le interruzioni di Exchange successive agli aggiornamenti di Windows Server di ottobre sono risolte con gli aggiornamenti di Windows di novembre.

Per quali versioni di Exchange è disponibile l’aggiornamento

L’SU del 10 novembre 2026 è disponibile per una sola versione:

• Exchange Server Subscription Edition (SE) RTM: KB5133453, build 15.2.2562.57; disponibile pubblicamente.

Potete confrontare la vostra versione con la panoramica dei numeri di build di Exchange.

Per Exchange 2016 e 2019 non è disponibile alcun aggiornamento. L’SU di ottobre è stato l’ultimo, anche per i clienti del programma ESU Period 2, e secondo l’annuncio il programma è terminato. Secondo Microsoft, Exchange Online è già protetto; negli ambienti ibridi ogni server Exchange richiede comunque l’SU, inclusi i server destinati esclusivamente alla gestione e le macchine con gli Exchange Management Tools.

Panoramica delle vulnerabilità

Tutte e nove le vulnerabilità sono raggiungibili tramite la rete (AV:N) e, secondo il vettore CVSS, hanno una bassa complessità di attacco (AC:L). La Security Update Guide indica come unico prodotto interessato Exchange Server SE RTM.

**CVE-2026-118207 è l’unica vulnerabilità del mese che Microsoft classifica come Critical (Remote Code Execution, CVSS 8.8) e l’unica con la valutazione «Exploitation More Likely». Secondo le FAQ nella Security Update Guide, un aggressore autenticato con privilegi ridotti può inviare una richiesta predisposta a un server interessato ed eseguire così codice sul server; non è necessaria alcuna interazione dell’utente. Microsoft indica come causa una convalida insufficiente dell’input (CWE-706). Per l’attacco basta quindi un normale account di posta elettronica, ad esempio con una password ottenuta tramite phishing.

**CVE-2026-118149 è la seconda vulnerabilità di esecuzione di codice in modalità remota (CVSS 8.8, Important). Anche in questo caso, secondo le FAQ, un aggressore autenticato invia una richiesta predisposta a un servizio interessato e può quindi eseguire codice sul sistema di destinazione; la causa è una code injection (CWE-94). Microsoft valuta lo sfruttamento come «Exploitation Unlikely».

**CVE-2026-118153 (Denial of Service, CVSS 7.5) è l’unica vulnerabilità che non richiede né un account né l’interazione dell’utente. Secondo la descrizione, un aggressore non autenticato può mettere fuori servizio il servizio tramite la rete; la causa è una complessità algoritmica inefficiente (CWE-407). Secondo il vettore, è interessata solo la disponibilità, non la riservatezza o l’integrità.

Le quattro elevazioni dei privilegi differiscono nei requisiti: per CVE-2026-118150 e CVE-2026-118154 (entrambi CVSS 8.8) basta un account con privilegi ridotti, mentre per CVE-2026-118151 e CVE-2026-118157 (entrambi CVSS 7.2) l’aggressore deve già disporre di privilegi elevati. Per CVE-2026-118151, secondo le FAQ, può ottenere privilegi SYSTEM.

Delle due vulnerabilità di spoofing, CVE-2026-118208 (CVSS 7.1) richiede un account con privilegi ridotti. CVE-2026-118152 (CVSS 6.5) è un Cross-Site Request Forgery: l’aggressore non necessita di un account, ma un utente deve collaborare (UI:R). Tutte le vulnerabilità, eccetto CVE-2026-118207 e CVE-2026-118149, sono classificate come «Exploitation Less Likely».

Exchange 2016 e 2019: nessun aggiornamento, nessuna verifica ulteriore

L’annuncio menziona Exchange 2016 e 2019 solo in una nota: queste versioni non vengono più testate per le vulnerabilità e non verranno più pubblicati aggiornamenti. Microsoft scrive che devono essere considerate permanentemente vulnerabili («permanently vulnerable») e che l’organizzazione deve essere aggiornata immediatamente. Il fatto che le nove CVE di novembre indichino solo Exchange SE non dice quindi nulla sul fatto che le versioni precedenti siano interessate. Frankys Web sottolinea che Exchange SE e 2019 CU15 sono tecnicamente molto vicini e che almeno una parte delle vulnerabilità è probabilmente presente anche in Exchange 2019.

Per l’esercizio, questo significa:

1. Exchange 2019 CU15 e precedenti, Exchange 2016: la versione rimane congelata all’SU di ottobre (con ESU) o a una versione precedente. Le nove vulnerabilità di novembre rimangono aperte su questi server, se presenti, e Microsoft non le verifica più.

2. Migrazione: Microsoft raccomanda il passaggio immediato a Exchange SE.

3. Ambienti ibridi: Exchange Online limita e blocca il flusso di posta dai server On-Premises obsoleti; le regole sono riportate nell’articolo sul Transport Enforcement.

Problemi risolti

Interruzioni di Exchange dopo gli aggiornamenti di Windows Server di ottobre (tutte le versioni). Il problema con MapiExceptionMdbOffline (ec=1142) non viene risolto dall’SU di Exchange: secondo l’annuncio, occorre installare gli aggiornamenti di Windows Server di novembre 2026. Le note di rilascio di questi aggiornamenti riportano la correzione in «[Exchange Server]» e indicano il problema come risolto con gli aggiornamenti a partire dal 10 novembre 2026: KB5131080 per Windows Server 2025, KB5131090 per Windows Server 2022, KB5131085 per Windows Server 2019 e KB5131291 per Windows Server 2016. Secondo l’annuncio, l’ordine in cui installate l’SU di Exchange e l’aggiornamento di Windows non è rilevante. Se avete impostato il valore del Registro EpmapSavedContextCap dall’articolo sulle interruzioni di Exchange, potete lasciarlo; secondo Microsoft, dopo l’installazione degli aggiornamenti di novembre per Windows Server non è più necessario.

Visualizzazione errata della disponibilità libero/occupato tramite Microsoft Graph negli ambienti ibridi (solo Exchange SE). Secondo KB5135867, gli utenti con una cassetta postale On-Premises non vedevano informazioni corrette su libero/occupato per le cassette postali di Exchange Online nel classico Outlook quando la Graph API era attivata; venivano visualizzati solo blocchi di tempo. Con Exchange Web Services (EWS) al posto della Graph API, la visualizzazione era corretta. Il problema è risolto con KB5133453 o un aggiornamento successivo. L’articolo del supporto non menziona alcuna attività successiva. Se siete tornati a EWS a causa di questo errore, dopo l’installazione verificate la richiesta libero/occupato di una cassetta postale di Exchange Online prima di riattivare la Graph API.

Problemi noti

Né l’annuncio né KB5133453 indicano Known Issues per l’SU di novembre (stato all’11 novembre 2026). L’annuncio non contiene commenti del team Exchange e Microsoft segnala che la documentazione potrebbe essere ancora incompleta al momento della pubblicazione. Dai mesi precedenti non rimane aperto alcun Known Issue: i problemi degli aggiornamenti di settembre sono risolti dall’SU di ottobre e il problema di Windows di ottobre è risolto con gli aggiornamenti di novembre per Windows Server (vedere sopra).

Installazione e attività successive

Nell’annuncio Microsoft indica la procedura nota: effettuare l’inventario con l’Exchange Health Checker per stabilire quali server richiedono aggiornamenti o passaggi manuali, installare l’SU, riavviare il server e verificare che tutti i servizi Exchange siano in esecuzione. Se dopo il setup alcuni servizi sono disattivati, l’installazione è stata interrotta. In caso di errori durante o dopo l’installazione, Microsoft rimanda allo script SetupAssist. Dopo l’installazione, secondo KB5133453, l’Health Checker indica se l’SU è stato installato correttamente e se sono necessari ulteriori passaggi.

Secondo KB5133453, il file di installazione si chiama ExchangeSubscriptionEdition-KB5133453-x64-en.exe (Download Center: «SU12»). L’SU sostituisce l’SU di ottobre KB5128895. Gli SU sono cumulativi: chi ha installato un SU precedente su Exchange SE RTM può installare direttamente l’SU di novembre.

Per gli ambienti ibridi, secondo le FAQ, vale quanto segue: se dopo l’installazione di un SU viene cambiato il certificato di autenticazione, occorre eseguire nuovamente Hybrid Configuration Wizard. In Windows Server 2025 gli SU di Exchange installati non vengono visualizzati nel Pannello di controllo; Microsoft sconsiglia di disinstallare gli SU.

Dai mesi precedenti restano aperte queste attività successive, se non sono già state completate: rimuovere l’override libero/occupato EnableRouteThroughMSGraphFeature (vedere articolo di ottobre), rimuovere il SettingOverride del wrapper DisableBlockSharedAndUserMailboxHeaders (vedere articolo di settembre) e verificare se la mitigazione CVE-2026-42897 (M2.1.0) è ancora attiva (vedere articolo sull’SU di luglio).

Procedura consigliata

Installate tempestivamente l’SU di novembre su tutti i server con Exchange SE e sulle macchine con gli Management Tools: per la vulnerabilità critica di esecuzione di codice in modalità remota CVE-2026-118207 è sufficiente un account con privilegi ridotti e Microsoft ritiene più probabile il suo sfruttamento. Nella stessa finestra di manutenzione installate gli aggiornamenti di novembre per Windows Server, in modo da risolvere la causa delle interruzioni di ottobre. Per Exchange 2016 e 2019 non esistono più patch; secondo Microsoft questi server devono essere considerati permanentemente vulnerabili e dovrebbero essere sostituiti immediatamente con Exchange SE.