Aggiornamenti di sicurezza di Exchange di ottobre 2026: sei vulnerabilità, ultimo aggiornamento per Exchange 2016 e 2019

Il 13 ottobre 2026 Microsoft ha pubblicato aggiornamenti di sicurezza (SU) per Exchange Server SE, Exchange 2019 ed Exchange 2016. Secondo gli articoli KB, risolvono sei vulnerabilità. Nessuna era nota pubblicamente in anticipo e, secondo la Security Update Guide, nessuna è sfruttata attivamente. Microsoft ne classifica tuttavia due come «Exploitation More Likely», inclusa una vulnerabilità di esecuzione di codice in modalità remota valutata Critical, che un aggressore non autenticato può attivare mediante un’e-mail appositamente predisposta. Questo mese è particolare per due motivi: l’SU risolve i due Known Issues aperti degli aggiornamenti di settembre (HTTP 500 per i calendari pubblicati e il deadlock di ContentEngine in Exchange SE), e per Exchange 2016 e 2019 è, secondo Microsoft, l’ultimo aggiornamento di sicurezza in assoluto, anche per i clienti del programma ESU Period 2.

Per quali versioni di Exchange è disponibile l’aggiornamento

Gli SU del 13 ottobre 2026 sono disponibili per le seguenti versioni:

• Exchange Server Subscription Edition (SE) RTM: KB5128895, build 15.2.2562.56; disponibile pubblicamente.
• Exchange Server 2019 CU15: KB5128896, build 15.2.1748.55; solo tramite il programma ESU Period 2.
• Exchange Server 2019 CU14: KB5128897, build 15.2.1544.50; solo tramite ESU Period 2.
• Exchange Server 2016 CU23: KB5128898, build 15.1.2507.77; solo tramite ESU Period 2.

È possibile confrontare la propria versione con la panoramica dei numeri di build di Exchange.

Exchange 2016 e 2019 non sono più supportati. Secondo gli articoli KB, le organizzazioni nel programma ESU Period 2 ricevono aggiornamenti di sicurezza fino alla fine di ottobre 2026; tutte le altre devono migrare a Exchange SE. Exchange Online è già protetto secondo l’annuncio; negli ambienti ibridi, tuttavia, ogni server Exchange necessita comunque dell’SU, inclusi i server di sola gestione e le macchine con gli Exchange Management Tools. Il significato concreto della fine dell’ESU è illustrato nella sezione Ultimo aggiornamento per Exchange 2016 e 2019.

Panoramica delle vulnerabilità

Tutti e quattro gli articoli KB elencano le stesse sei CVE. Nella Security Update Guide, tuttavia, Exchange 2019 CU15 manca per CVE-2026-87692; vi sono elencati come interessati solo Exchange SE, 2019 CU14 e 2016 CU23 (situazione al 14 ottobre 2026). Frankys Web interpreta questo dato nel senso che 2019 CU15 non è interessato da questa vulnerabilità. Per l’installazione la differenza non ha importanza, poiché l’SU su CU15 risolve comunque tutte le altre vulnerabilità.

CVE-2026-70571 è l’unica vulnerabilità del mese che Microsoft classifica come Critical (Remote Code Execution, CVSS 8.1). La causa è un buffer overflow basato sullo stack. Secondo le FAQ della Security Update Guide, un aggressore non autenticato può inviare un’e-mail appositamente predisposta a un server Exchange interessato, attivando così un processo di conversione interno; non è necessaria alcuna interazione dell’utente. Secondo il vettore CVSS, la complessità dell’attacco è elevata (AC:H); Microsoft scrive che lo sfruttamento riuscito non è garantito e richiede una conoscenza approfondita dell’ambiente di destinazione. Ciononostante, Microsoft valuta lo sfruttamento come «Exploitation More Likely». L’aggressore non necessita di un account nell’organizzazione: è sufficiente che il server accetti e-mail.

CVE-2026-70279 ha il valore più alto, CVSS 9.3, ed è anch’essa classificata come «Exploitation More Likely». Si tratta di un Cross-Site Scripting: un aggressore non autenticato invia un link appositamente predisposto; se un amministratore lo apre, l’aggressore può eseguire azioni con i suoi privilegi e quindi accedere ai dati dell’organizzazione o modificarli. Secondo le FAQ, ciò richiede un’interazione dell’utente, tipicamente tramite social engineering. Il livello di gravità è Important.

CVE-2026-77910 (Elevation of Privilege, CVSS 8.8) richiede soltanto un account con privilegi limitati. Secondo le FAQ, un aggressore può manipolare una cache condivisa dell’Exchange Control Panel e fare così installare un componente aggiuntivo di posta dannoso nella cassetta postale di un altro utente, senza che quest’ultimo debba fare nulla. Microsoft descrive lo stesso vettore di attacco per CVE-2026-87696 (CVSS 7.5), in quel caso come conseguenza di una verifica insufficiente delle firme crittografiche e con alta complessità dell’attacco.

Le altre due vulnerabilità, CVE-2026-87692 (deserializzazione di dati non attendibili) e CVE-2026-87695, sono elevazioni locali dei privilegi con CVSS 7.8: secondo Microsoft, un aggressore autenticato con privilegi limitati può ottenere privilegi SYSTEM. Entrambe sono classificate come «Exploitation Less Likely», così come CVE-2026-77910 e CVE-2026-87696.

Riguardo a CVE-2026-96940 di settembre v2: l’annuncio di ottobre non menziona la v2. Secondo le FAQ dell’annuncio, gli SU sono cumulativi; chi utilizza una CU supportata installa solo l’SU più recente. Frankys Web conferma che l’SU di ottobre contiene la correzione della v2. I server che eseguono ancora il primo SU di settembre dell’8 settembre possono quindi installare direttamente l’SU di ottobre; i dettagli sulla v2 sono disponibili nell’articolo su settembre v2.

Ultimo aggiornamento per Exchange 2016 e 2019

L’annuncio è chiaro su questo punto: ottobre 2026 è l’ultimo mese in cui i clienti del programma ESU Period 2 ricevono nuovi aggiornamenti di sicurezza per Exchange 2016 e 2019. Dal rilascio successivo, gli aggiornamenti saranno pubblicati solo per Exchange SE. Gli annunci e le notifiche CVE future non citeranno più 2016 e 2019, e Microsoft scrive espressamente: «We will stop testing Exchange 2016 and 2019 for vulnerabilities.» Il fatto che una CVE non menzioni queste versioni non significa dunque che non siano interessate; Microsoft sottolinea nell’annuncio che le vecchie versioni non diventano sicure per questo motivo. Frankys Web evidenzia inoltre che Exchange SE e 2019 CU15 sono tecnicamente molto simili, quindi è altamente probabile che le future vulnerabilità di SE riguardino anche 2019.

Secondo l’annuncio, ESU Period 2 è ancora acquistabile per un periodo limitato. Tuttavia, porta un’organizzazione soltanto al livello dell’aggiornamento di ottobre 2026; non seguiranno ulteriori aggiornamenti. Chi ha già acquistato un ESU e ha domande sull’accesso può, secondo gli articoli KB, rivolgersi a ExchangeandSfBServerESUInquiry@service.microsoft.com.

Per l’esercizio, ciò significa:

1. Exchange 2016 e 2019 con ESU: installare l’SU di ottobre. Successivamente il livello rimarrà congelato e ogni vulnerabilità scoperta in seguito resterà aperta.

2. Exchange 2016 e 2019 senza ESU: questi server non ricevono più aggiornamenti di sicurezza da maggio 2026. Microsoft raccomanda di migrare a Exchange SE il prima possibile.

3. Ambienti ibridi: oltre all’assenza di patch, Exchange Online limita e blocca il flusso di posta dai server On-Premises obsoleti; le regole sono disponibili nell’articolo sul Transport Enforcement.

Problemi risolti e operazioni necessarie dopo l’aggiornamento

I calendari pubblicati (.ics) restituiscono HTTP 500 alle app calendario (tutte le versioni). Il problema esistente dall’SU di agosto è risolto con l’SU di ottobre; KB5126672 indica ora come soluzione l’installazione dei quattro aggiornamenti di ottobre o successivi. L’articolo di supporto non descrive più il precedente workaround di riscrittura URL nel sito «Exchange Back End» e Microsoft non fornisce istruzioni per rimuovere la regola (situazione al 14 ottobre 2026). Se avete configurato la regola, documentate su quali server è attiva e testate un abbonamento a un calendario prima di rimuoverla.

Deadlock di ContentEngine dovuto a file WordBreaker coreani mancanti (solo Exchange SE). Secondo KB5130098, il problema è risolto con KB5128895 o un aggiornamento più recente e dopo l’installazione dell’aggiornamento di ottobre non è necessaria alcuna azione aggiuntiva. Ciò vale anche per i server su cui è stato applicato il workaround manuale dell’articolo di settembre: Microsoft non richiede di annullare la copia dei file delle regole. I server senza workaround non devono più aggiungere manualmente i file.

Disponibilità free/busy per cassette postali delegate in ambienti ibridi con configurazione solo Graph API (solo Exchange SE). Questo problema non viene risolto dall’SU di ottobre: KB5127092 ora riporta «The issue has been fixed in the service». La contraddizione dell’articolo v2 è pertanto risolta. Se avete impostato il workaround, rimuovetelo secondo KB5127092:

Get-SettingOverride -Identity EnableRouteThroughMSGraphFeature
Set-SettingOverride -Identity EnableRouteThroughMSGraphFeature -Parameters "Enabled=True"
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

Successivamente, verificate la richiesta free/busy di una cassetta postale delegata di Exchange Online da Outlook o OWA.

Problemi noti

Né l’annuncio né i quattro articoli KB menzionano Known Issues per l’SU di ottobre (situazione al 14 ottobre 2026). Il 15 ottobre 2026 Microsoft ha integrato l’annuncio: gli aggiornamenti di Windows Server di ottobre 2026 possono causare l’arresto dei server Exchange dopo circa un giorno con MapiExceptionMdbOffline (ec=1142), anche senza un SU di Exchange installato. Sintomi e procedura sono disponibili nell’articolo sui guasti di Exchange dopo gli aggiornamenti di Windows. I tre problemi aperti degli aggiornamenti di settembre sono quindi risolti: due dall’SU di ottobre, uno da una correzione in Exchange Online (vedi sopra). Il problema del wrapper nelle cassette postali condivise era già stato risolto con l’SU di settembre.

Installazione e attività successive

Microsoft indica nell’annuncio la procedura nota: inventariare con l’Exchange Health Checker, determinare il percorso con l’Exchange Update Wizard in caso di CU obsoleta, installare l’SU, riavviare il server e verificare che tutti i servizi Exchange siano in esecuzione. In caso di errori, Microsoft rimanda allo script SetupAssist. Dopo l’installazione, secondo KB5128895, l’Health Checker mostra se l’SU è installato correttamente e se sono necessari ulteriori passaggi. La Security Update Guide non indica un riavvio obbligatorio per le build di ottobre; l’annuncio lo raccomanda comunque dopo il setup.

Secondo KB5128895, il file di installazione per Exchange SE si chiama ExchangeSubscriptionEdition-KB5128895-x64-en.exe (Download Center: «SU11»), per Exchange 2019 CU15 Exchange2019-KB5128896-x64-en.exe, per CU14 Exchange2019-KB5128897-x64-en.exe e per Exchange 2016 Exchange2016-KB5128898-x64-en.exe. I pacchetti sono specifici per CU.

Per gli ambienti ibridi, secondo le FAQ, vale quanto segue: se dopo l’installazione di un SU viene cambiato il certificato di autenticazione, è necessario eseguire nuovamente Hybrid Configuration Wizard. In Windows Server 2025, gli SU di Exchange installati non compaiono nel Pannello di controllo; Microsoft sconsiglia di disinstallare gli SU.

Dai mesi precedenti restano aperte queste attività, se non sono già state eseguite: rimuovere il SettingOverride del wrapper DisableBlockSharedAndUserMailboxHeaders (vedi articolo di settembre) e verificare se la mitigazione CVE-2026-42897 (M2.1.0) è ancora attiva (vedi articolo sull’SU di luglio).

Procedura consigliata

Installate tempestivamente l’SU di ottobre su tutti i server Exchange e sulle macchine con Management Tools: la vulnerabilità critica di esecuzione di codice in modalità remota CVE-2026-70571 può essere attivata tramite e-mail senza account, e Microsoft considera più probabile il suo sfruttamento, così come quello del Cross-Site Scripting CVE-2026-70279. I server con il primo SU di settembre riceveranno così anche la correzione per CVE-2026-96940. Successivamente rimuovete l’override free/busy, se impostato, e verificate i calendari pubblicati. Per Exchange 2016 e 2019 questo è l’ultimo aggiornamento; pianificate ora la migrazione a Exchange SE, poiché da novembre questi server non riceveranno più aggiornamenti di sicurezza.