A Microsoft corrigiu a CVE-2026-96940, falha com nota 8.8 na escala CVSS no Exchange Server, o servidor de e-mail corporativo da empresa. Ela permite que um usuário autenticado acesse a caixa de correio de outras pessoas da mesma organização, sem precisar de privilégio administrativo.
O acesso não se limita a assunto e remetente. O invasor lê o conteúdo das mensagens e abre também os anexos, o que inclui contratos, planilhas e qualquer documento trocado por e-mail.
A exigência de autenticação não reduz tanto o risco quanto parece. Qualquer conta válida da organização serve, o que inclui a de um funcionário comum, a de um prestador de serviço e a de alguém que teve a senha roubada em um phishing.
É o tipo de falha que transforma um comprometimento pequeno em um problema grave: uma única credencial de baixo privilégio passa a dar acesso à correspondência de diretoria, jurídico ou financeiro.
São afetadas as versões Exchange Server Subscription Edition RTM, Exchange 2016 CU23, Exchange 2019 CU15 e Exchange 2019 CU14, ou seja, as linhas ainda em uso na maior parte dos ambientes locais.
Quem usa o Exchange Online não precisa fazer nada, porque a correção foi aplicada do lado do serviço. As instalações locais precisam instalar a atualização.
A Microsoft classificou a falha como de exploração mais provável, uma avaliação que indica probabilidade elevada de surgirem ataques, mas informou que não há evidência de uso em ataques reais até a publicação do aviso.
