Microsoft устранила семь уязвимостей в почтовом сервере Exchange Server. Исправления затрагивают локальные версии продукта: Exchange Server 2016, Exchange Server 2019 и Exchange Server Subscription Edition. Часть проблем позволяет злоумышленнику выдать себя за другого пользователя и повысить свои права. Другие открывают путь к запуску произвольного кода с правами процесса, в котором работает сервер. Кумулятивные обновления уже опубликованы.
Состав исправлений в Exchange Server и CVE-2026-96940
Набор закрытых проблем разнороден, и от этого зависит оценка риска. Межсайтовый скриптинг (XSS) даёт возможность подсунуть вредоносный сценарий в веб-интерфейс почты, после чего сценарий выполнится в браузере сотрудника, открывшего страницу. Переполнение буфера в стеке связано с выходом за границы памяти, а такие ошибки часто оборачиваются исполнением чужого кода. Некорректная проверка криптографической подписи означает, что подделанные данные проходят проверку подлинности. Десериализация недоверенных данных заставляет сервер разбирать внешние структуры, внутри которых спрятан исполняемый код.
Две уязвимости касаются логики доступа. Некорректная авторизация открывает путь к объектам, которые сотруднику не предназначены. Слабая аутентификация упрощает подбор учётных данных и обход входа. Замыкает список подключение функциональности из недоверенного источника: сервер начинает опираться на компонент, который не должен влиять на его работу.
Exchange обслуживает корпоративную переписку и календари, поэтому компромисс сервера даёт доступ к письмам и вложениям сразу многих сотрудников. Через них атакующий получает путь к внутренним ресурсам компании. Практическая угроза обычно складывается из комбинации. Сначала злоумышленник добывает доступ к ящику или веб-интерфейсу, затем поднимает права, а после закрепляется в системе. По этой причине ошибка авторизации в связке с другой проблемой даёт больше возможностей, чем высокий рейтинг в одиночку.
Отдельная уязвимость с рейтингом 8.8
Одна из семи проблем, CVE-2026-96940, получила рейтинг CVSS 8.8 по третьей версии шкалы. Это уязвимость высокой степени опасности. Для неё ранее выпускали внеплановое обновление, вне обычного графика. Теперь исправление вошло в кумулятивный пакет, так что отдельно искать тот выпуск не нужно. Тем, кто пропустил внеплановый патч, накопительный набор закроет и эту брешь.
Затронутые версии и установка обновлений
В список входят Exchange Server 2016 Cumulative Update 23, Exchange Server 2019 Cumulative Update 14 и Cumulative Update 15, а также Exchange Server Subscription Edition RTM. Администраторам достаточно поставить свежий кумулятивный пакет для своей ветки. Если внеплановое исправление для CVE-2026-96940 уже установлено, кумулятивное обновление всё равно понадобится: оно закрывает остальные проблемы. Сведения об установке и возможных обходных мерах вендор собрал на портале Microsoft Security Guidance. Данных об эксплуатации этих уязвимостей в реальных атаках в сообщении нет.
Обновления касаются серверов, которые организация разворачивает и обслуживает сама. Установка накопительного пакета требует окна обслуживания, из-за чего часть компаний откладывает патчи на недели. Пока обновление не применено, веб-интерфейс Exchange остаётся точкой входа с широким набором сценариев для атакующего. Накопленные пропуски как раз и закрываются сразу большим списком уязвимостей, как в этом выпуске.
Ссылки
