Microsoft, belirli koşullar altında saldırganların ayrıcalıklarını yükseltmesine olanak verebilecek Microsoft Exchange Server’daki yüksek önem dereceli bir açığı gidermek için olağan dışı güvenlik güncellemeleri yayınladı.
Açık, CVE-2026-96940 olarak izleniyor ve CVSS puanlama sisteminde 8.8 olarak derecelendiriliyor.
Microsoft, 2 Ekim 2026’da yayımlanan bir danışmada “Microsoft Exchange Server’da zayıf yetkilendirme, kimliği doğrulanmış bir saldırganın ağ üzerinden ayrıcalıklarını yükseltmesine izin veriyor” dedi.
Şirket, kimliği doğrulanmış bir saldırganın bu açığı aynı kuruluş içindeki diğer kullanıcıların posta kutularına yetkisiz erişim elde etmek, e-posta mesajlarını ve ekleri okumak için kullanabileceğini belirtti. Açık, kiracı arası erişime izin vermiyor.
Microsoft, sorunu gidermek için Exchange Online’a “ilgili hizmet tarafı düzeltmesi” zaten dağıttı. Bu nedenle Exchange Online müşterilerinin herhangi bir işlem yapmasına gerek yok.
Etkilenen yerel Microsoft Exchange Server ürünleri kullanıcılarının korunmak için güncellemeleri yüklemesi öneriliyor. Etkilenen sürümler şunlar:
Microsoft Exchange Server Subscription Edition RTM
Microsoft Exchange Server 2016 Cumulative Update 23
Microsoft Exchange Server 2019 Cumulative Update 15
Microsoft Exchange Server 2019 Cumulative Update 14
Redmond, açığı keşfeden ve bildiren kişi olarak Microsoft araştırmacısı Jan Mitchell’e teşekkür etti. Açığın gerçek saldırılarda kullanıldığına dair bir kanıt olmasa da Microsoft, “Sömürü Daha Olası” olarak bir Sömürülebilirlik değerlendirmesi ekledi ve bu da kullanıcıların düzeltmeleri hızla uygulaması için önemli kılıyor.
Açıklama, Broadcom’a ait Symantec’in Çin bağlantılı Warlock aktörünün Portekizce ve İspanyolca konuşulan ülkelerdeki kuruluşlara yönelik saldırılarda isim babası fidye yazılımını dağıtmak için Microsoft SharePoint’te birden fazla güvenlik açığını sömürdüğü uyarısının üzerinden günler sonra geldi.
