CVE-2026-96940 Microsoft Exchange Server Elevation of Privilege Vulnerability
8.8
Analys på rafaelpfister.ch
- Artikel · 7 oktober 2026 Exchange-säkerhetsuppdateringar från september 2026: nio sårbarheter, wrapper-problem åtgärdat, v2 släppt i efterhand September-SU:t åtgärdar nio sårbarheter i Exchange SE och 2019 (åtta i Exchange 2016), däribland en spoofing-sårbarhet med CVSS 9.3, och löser wrapper-problemet i hybridmiljöer. Den 2 oktober följde en v2 med ytterligare en CVE; dessutom finns tre Known Issues med lösningar och en SettingOverride som nu bör tas bort.
- Artikel · 7 oktober 2026 Exchange-säkerhetsuppdatering september 2026 v2: tidigarelagd korrigering för CVE-2026-96940 Den 2 oktober 2026 släppte Microsoft version 2 av säkerhetsuppdateringarna för september för Exchange SE, 2019 och 2016. Den åtgärdar dessutom CVE-2026-96940, en behörighetseskaleringssårbarhet med CVSS 8.8 och bedömningen ”Exploitation More Likely”. Microsoft rekommenderar att installera v2 så snart som möjligt, även på servrar med den första säkerhetsuppdateringen från september.
Tillverkarens beskrivning (engelska)
An elevation of privilege vulnerability exists when Microsoft Exchange Outlook Web Access (OWA) fails to properly handle web requests. An attacker who successfully exploited this vulnerability could perform script/content injection attacks and attempt to trick the user into disclosing sensitive information.
To exploit the vulnerability, an attacker could send a specially crafted email message containing a malicious link to a user. Alternatively, an attacker could use a chat client to social engineer a user into clicking the malicious link.
The security update addresses the vulnerability by correcting how Microsoft Exchange validates web requests.
Note: In order to exploit this vulnerability, a user must click a maliciously crafted link from an attacker. Referensdata
- Tillverkare
- Microsoft
- Berörda produkter
- Microsoft Exchange Server 2016 Cumulative Update 23
- Microsoft Exchange Server 2019 Cumulative Update 14
- Microsoft Exchange Server 2019 Cumulative Update 15
- Microsoft Exchange Server Subscription Edition RTM
- CVSS 3.1
- 8.8 (HIGH)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C- Typ av svaghet
- CWE-1390: Weak Authentication
- Publicerad
- 2 oktober 2026
