1. Microsoft heeft in september 2026 een beveiligingsupdate (V2) uitgebracht om een kwetsbaarheid in Exchange Server aan te pakken, specifiek CVE-2026–96940. Deze kwetsbaarheid werd intern door Microsoft ontdekt. Er is geen kennis van actieve uitbuiting van deze kwetsbaarheid.
2. CVE-2026–96940 betreft zwakke autorisatie. Geauthenticeerde aanvallers kunnen hierdoor toegang krijgen tot e-mailboxen binnen dezelfde organisatie en verhoogde privileges verkrijgen. Dit kan leiden tot blootstelling van e-mailberichten en bijlagen. De toegangsbeperking tot e-mailboxen blijft beperkt tot de tenantgrenzen.
3. De kwetsbaarheid heeft een CVSS-score van 8.8 en vereist geen gebruikersinteractie voor uitbuiting.
4. De V2-update van september 2026 voegt bescherming tegen CVE-2026-96940 toe aan de oorspronkelijke beveiligingsupdates van september. Organisaties die de eerdere release hebben geïnstalleerd, dienen de nieuwe pakketten te controleren op deze aanvullende oplossing.
5. De updates zijn beschikbaar voor Exchange Server Subscription Edition RTM, Exchange Server 2019 CU14 en CU15, en Exchange Server 2016 CU23.
6. De kwetsbaarheid CVE-2026-96940 staat los van de eerdere Exchange-kwetsbaarheid CVE-2026-62911.
7. Exchange Server 2016 en 2019 vallen buiten de ondersteuning. De nieuwste patches voor deze versies zijn alleen beschikbaar voor organisaties die zijn ingeschreven voor het Period 2 Extended Security Update-programma van Microsoft, dat loopt van mei tot oktober 2026. Deelname aan dit programma vereist een aparte aankoop. Na oktober 2026 zullen er geen verdere verlengingen meer zijn.
8. Organisaties zonder deze Extended Security Update-dekking wordt geadviseerd te migreren naar Exchange Server Subscription Edition.
9. Klanten van Exchange Online zijn reeds beschermd tegen de kwetsbaarheden die in deze release worden aangepakt.
10. Bedrijven die hybride implementaties gebruiken, moeten hun lokale Exchange-servers updaten, inclusief servers die uitsluitend voor beheer worden gebruikt. Machines waarop Exchange Management Tools draaien, hebben ook de toepasselijke updates nodig.
11. Microsoft raadt aan het Exchange Server Health Checker-script uit te voeren om ontbrekende cumulatieve updates, beveiligingsupdates en vereiste handmatige acties te identificeren. Beheerders kunnen de Exchange Update Wizard gebruiken om het juiste upgrade pad te plannen alvorens het nieuwste beveiligingspakket te installeren.
12. Exchange beveiligingsupdates zijn cumulatief. Na installatie wordt aangeraden de server te herstarten, te controleren of de Exchange-services correct starten en de Health Checker opnieuw uit te voeren.
13. Bekende problemen met deze release omvatten gepubliceerde agendabestanden die HTTP 500-fouten retourneren en ContentEngine deadlocks die de Koreaanse taal-e-mail beïnvloeden. Microsoft is van plan deze problemen in toekomstige updates aan te pakken.
14. De release bevat ook oplossingen voor gedeelde mailbox wrapper-berichten en de beschikbaarheid van gedelegeerde mailboxen in bepaalde hybride omgevingen.
15. Microsoft moedigt klanten aan de implementatiehandleiding te raadplegen en de update zo spoedig mogelijk toe te passen. De update werd eerder uitgebracht dan gepland, waardoor ondersteunende documentatie mogelijk niet direct beschikbaar was.