A Microsoft anunciou, na manhã de 5 de outubro de 2026, a disponibilização de atualizações de segurança fora do calendário habitual para o Microsoft Exchange Server. As correções tratam da vulnerabilidade identificada como CVE-2026-96940, considerada de alta gravidade e capaz de permitir que um atacante já autenticado eleve seus privilégios e leia mensagens de outras contas de e‑mail. A empresa recomenda a aplicação imediata dos patches para evitar exploração em larga escala.
Contexto
Em resposta ao aumento de ataques direcionados a servidores de e‑mail corporativo, a Microsoft tem reforçado seu programa de correções emergenciais. Historicamente, o Exchange Server já foi alvo de vulnerabilidades críticas, como as falhas ProxyLogon em 2021, que geraram ampla exploração por grupos criminosos. Nesse cenário, a descoberta da CVE-2026-96940 surge após relatos de pesquisadores de segurança que observaram um comportamento de autorização fraca em rotinas de acesso a caixas de correio. Segundo a própria Microsoft, a falha foi identificada internamente e reportada por um parceiro de segurança antes de ser divulgada publicamente.
Impacto
Organizações que utilizam versões suportadas do Microsoft Exchange Server podem ter suas comunicações comprometidas caso a vulnerabilidade seja explorada. Até o momento, não há registro de incidentes confirmados envolvendo a CVE-2026-96940, mas a capacidade de leitura de e‑mails alheios eleva o risco de vazamento de informações confidenciais, espionagem corporativa e fraude. Empresas de setores regulados, como financeiro e saúde, são particularmente vulneráveis, pois a exposição de dados sensíveis pode acarretar sanções regulatórias. Analistas estimam que milhares de servidores ao redor do mundo ainda não tenham recebido as atualizações mais recentes, ampliando a superfície de ataque.
Detalhes técnicos
Do ponto de vista técnico, a vulnerabilidade decorre de uma verificação inadequada de permissões ao processar solicitações de leitura de itens de caixa de correio. Quando um usuário autenticado envia uma requisição para acessar um recurso, o servidor não valida corretamente se o solicitante possui direitos sobre a caixa de destino. Essa falha permite que um invasor, já em posse de credenciais válidas, modifique parâmetros da chamada e obtenha acesso a mensagens de outros usuários sem necessidade de elevação adicional. A exploração requer que o atacante esteja autenticado no ambiente, o que pode ser conseguido por meio de credenciais comprometidas ou ataques de força bruta em serviços expostos. A Microsoft classificou a vulnerabilidade com pontuação 8, 8 no CVSS, refletindo a combinação de requisitos de autenticação e o impacto potencial sobre confidencialidade e integridade dos dados.
Encerramento
Até o momento, a Microsoft já disponibilizou os patches para as versões mais recentes do Microsoft Exchange Server, incluindo o Exchange 2016, 2019 e o Exchange Online. Administradores são instruídos a aplicar as atualizações imediatamente e a revisar políticas de acesso a caixas de correio, reforçando a autenticação multifator sempre que possível. Em resposta a isso, especialistas recomendam a realização de auditorias internas para identificar contas com privilégios excessivos e a implementação de monitoramento de logs de acesso a e‑mail. A fonte original da informação é o portal The Hacker News, que divulgou os detalhes da vulnerabilidade e das correções oferecidas pela Microsoft.