Lỗ hổng Microsoft Exchange cho phép người dùng đã xác thực đọc hộp thư của người khác
"Microsoft released out-of-band updates for a high-severity Microsoft Exchange Server vulnerability, tracked as CVE-2026-96940 and rated 8.8 CVSS. The flaw is a weak authorization issue that could let an authenticated attacker elevate privileges over the network and read other users' mailboxes and attachments within the same organization; Microsoft says Exchange Online was already fixed server-side, while affected on-premises versions require patching."
Ảnh hưởng đến bí mật email nội bộ, có thể dẫn tới đọc trái phép hộp thư và tệp đính kèm; rủi ro tăng nếu hệ thống Exchange Server tại chỗ chưa được cập nhật.
Có thể gây rò rỉ dữ liệu nội bộ, ảnh hưởng tuân thủ và làm tăng khối lượng xử lý cho đội vận hành khi phải vá khẩn cấp và kiểm tra quyền truy cập.
Microsoft đã phát hành bản cập nhật ngoài chu kỳ để khắc phục một lỗ hổng nghiêm trọng trong Microsoft Exchange Server, được theo dõi là CVE-2026-96940 và có điểm CVSS 8.8. Theo mô tả của hãng, đây là lỗi phân quyền yếu có thể cho phép kẻ tấn công đã xác thực leo thang đặc quyền qua mạng và truy cập trái phép vào hộp thư cũng như tệp đính kèm của người dùng khác trong cùng một tổ chức.
Microsoft cho biết Exchange Online đã được xử lý ở phía dịch vụ, nên khách hàng dùng dịch vụ đám mây này không cần hành động thêm. Tuy nhiên, các hệ thống Exchange Server tại chỗ bị ảnh hưởng cần cài đặt bản vá sớm để giảm rủi ro.
Các phiên bản bị ảnh hưởng gồm Exchange Server Subscription Edition RTM, Exchange Server 2016 CU23, Exchange Server 2019 CU15 và Exchange Server 2019 CU14. Microsoft đánh giá khả năng bị khai thác là “Exploitation More Likely”, dù chưa ghi nhận việc bị khai thác ngoài thực tế. Khuyến nghị quản trị viên ưu tiên kiểm tra phiên bản, triển khai bản cập nhật và rà soát quyền truy cập nội bộ để hạn chế tác động nếu hệ thống chưa được vá.