Vulnerabilidad crítica en Microsoft Exchange permite a atacantes autenticados leer buzones de otros usuarios (PARCHEA!)

Mi­cro­soft ha pu­bli­ca­do ac­tua­li­za­cio­nes de se­gu­ri­dad fuera de ciclo para so­lu­cio­nar una vul­ne­ra­bi­li­dad de alta gra­ve­dad en Mi­cro­soft Ex­chan­ge Ser­ver que po­dría per­mi­tir a un ata­can­te ele­var pri­vi­le­gios bajo de­ter­mi­na­das con­di­cio­nes.

La vul­ne­ra­bi­li­dad, iden­ti­fi­ca­da como CVE-2026-96940 (CVSS 8,8) es una "Una au­to­ri­za­ción de­fi­cien­te en Mi­cro­soft Ex­chan­ge Ser­ver per­mi­te a un ata­can­te au­ten­ti­ca­do ele­var pri­vi­le­gios a tra­vés de la red", se­ña­ló Mi­cro­soft en un bo­le­tín de se­gu­ri­dad pu­bli­ca­do el 2 de oc­tu­bre de 2026.

El fa­bri­can­te in­di­có que un ata­can­te au­ten­ti­ca­do puede ex­plo­tar este fallo para ob­te­ner ac­ce­so no au­to­ri­za­do a los bu­zo­nes de co­rreo de otros usua­rios den­tro de la misma or­ga­ni­za­ción y leer men­sa­jes de co­rreo elec­tró­ni­co y ar­chi­vos ad­jun­tos. Sin em­bar­go, la vul­ne­ra­bi­li­dad no per­mi­te el ac­ce­so entre in­qui­li­nos ( cross-te­nant ).

Mi­cro­soft ya ha im­ple­men­ta­do una "co­rrec­ción re­la­cio­na­da en el lado del ser­vi­dor" en Ex­chan­ge On­li­ne para so­lu­cio­nar el pro­ble­ma. Por con­si­guien­te, los clien­tes de Ex­chan­ge On­li­ne no ne­ce­si­tan rea­li­zar nin­gu­na ac­ción.

Se re­co­mien­da a los usua­rios de los pro­duc­tos lo­ca­les de Mi­cro­soft Ex­chan­ge Ser­ver afec­ta­dos que ins­ta­len las ac­tua­li­za­cio­nes para man­te­ner­se pro­te­gi­dos. Las ver­sio­nes afec­ta­das son…