Microsoft heeft out-of-band beveiligingsupdates gepubliceerd voor een hoog-seerieuze kwetsbaarheid in Microsoft Exchange Server. Door deze fout kunnen geauthenticeerde aanvallers onder bepaalde omstandigheden rechten opschalen en vervolgens Microsoft Exchange mailboxen van andere gebruikers binnen dezelfde organisatie benaderen om berichten en bijlagen in te zien.
De kwetsbaarheid is geregistreerd als CVE-2026-96940 en krijgt een CVSS-score van 8,8. Hoewel er volgens Microsoft geen aanwijzingen zijn dat de kwetsbaarheid al actief wordt misbruikt in het wild, vraagt de combinatie van impact en exploitbaarheid om snelle actie.
Wat is er precies mis met Microsoft Exchange?
Volgens de Microsoft-advisory gaat het om zwakke autorisatie in Exchange. Dat betekent in de praktijk dat een aanvaller die al is aangemeld, via een fout in de rechtenstructuur privileges kan verhogen.
Met die opgehoogde rechten kan de aanvaller vervolgens:
- toegang krijgen tot andere mailboxen binnen dezelfde Exchange-organisatie;
- e-mailberichten en bijlagen lezen.
Belangrijk detail: Microsoft geeft aan dat de kwetsbaarheid geen cross-tenant toegang mogelijk maakt. Aanvallers kunnen dus niet zomaar buiten de eigen Exchange-tenant/organisatiegrenzen reiken op basis van deze fout alleen.
Nieuwe updates: voor on-prem en (niet) voor Exchange Online
Microsoft heeft al een gerelateerde service-side fix doorgevoerd voor Exchange Online. Daardoor hoeven Exchange Online-klanten volgens Microsoft geen extra actie te ondernemen.
Voor omgevingen met on-premises Microsoft Exchange Server ligt de verantwoordelijkheid wel bij de organisatie. Gebruikers van getroffen versies worden geadviseerd om de beschikbare updates zo snel mogelijk te installeren om verdere risico’s te beperken.
Welke versies zijn geraakt?
Microsoft noemt de volgende Exchange Server-producten en updates als getroffen:
- Microsoft Exchange Server Subscription Edition RTM
- Microsoft Exchange Server 2016 Cumulative Update 23
- Microsoft Exchange Server 2019 Cumulative Update 15
- Microsoft Exchange Server 2019 Cumulative Update 14
Controleer daarom in je patchmanagement welke Exchange-instanties in deze categorie vallen en plan de installatie van de out-of-band updates direct in.
Exploitbaarheid: waarom snelheid nu belangrijk is
Microsoft meldt dat er geen bewijs is dat de kwetsbaarheid is “geweaponized” in de praktijk. Toch is de fout door Microsoft geclassificeerd met een Exploitability-assessment van “Exploitation More Likely”.
Dat is een duidelijke waarschuwing: zodra een fout met deze beoordeling beschikbaar komt voor misbruik, kan het verschil tussen kwetsbaar blijven en veilig zijn in korte tijd enorm worden. Pak daarom het patchen van Microsoft Exchange mailboxen en de onderliggende Exchange componenten als prioriteit op, liefst vóór de eerstvolgende risicovenster of releasecyclus.
Wat betekent dit voor jouw security & incident response?
Hoewel patchen de primaire maatregel is, helpt het om ook je bredere controles te toetsen. Denk bijvoorbeeld aan:
- Detectie op ongebruikelijke mailbox-toegang: let op accounts die mailboxen openen die normaal niet binnen hun scope vallen.
- Rechten en accountbeheer: bevestig dat service accounts en gebruikersaccounts de juiste rechten hebben en geen “extra” permissies bezitten.
- Monitoring rond Exchange: check of logging en alerting voldoende detail geeft om later te achterhalen wat er is gebeurd.
Als onderdeel van je incident response-proces kun je daarnaast nadenken over een korte herbeoordeling: zijn er logreeksen of toegangspatronen die mogelijk passen bij privilege-escalatie of mailbox-lezen? Microsoft benadrukt dat er geen actieve exploit in het wild is gezien, maar dat neemt de noodzaak van validatie niet weg.
Exchange Online vs. on-prem: vermijd een “false sense of security”
Het is verleidelijk om te denken dat cloud-only organisaties automatisch minder risico lopen. In dit geval klopt het dat Exchange Online al een service-side fix heeft. Toch blijft het belangrijk om je eigen omgeving scherp te krijgen:
- Als je on-premises Exchange draait naast Exchange Online, kan die on-prem component wél geraakt zijn.
- Als je alleen Exchange Online gebruikt, is er geen directe patchactie voor client-side componenten, maar blijft toezicht en goede logging waardevol.
Zo voorkom je dat je maatregelen baseert op aannames in plaats van op een concrete inventaris van je Exchange-landschap.
Ransomware- en misbruiksignalen in de bredere Microsoft-stack
Deze Exchange-melding komt in dezelfde periode als andere signalen rond misbruik van Microsoft-producten. In de broncontext wordt ook verwezen naar waarschuwingen over de Warlock-actor die meerdere kwetsbaarheden in SharePoint zou benutten om ransomware te deployen tegen organisaties in specifieke taallanden.
Dat soort verbanden is geen direct bewijs dat dezelfde aanvallers of ketens dezelfde kwetsbaarheid gebruiken, maar het is wel een herkenbaar patroon: aanvallers zoeken vaak naar de combinatie van toegang, rechten en bewegingsruimte binnen de Microsoft-omgeving. Daarom is het verstandig om je patchstrategie en controlemaatregelen breder dan alleen Exchange te bekijken.
Concrete vervolgstappen (kort en praktisch)
Als je geraakt bent met on-premises Exchange Server, zijn dit de logische volgende stappen:
- Beoordeel je versies en bevestig of je binnen de lijst valt van getroffen Exchange releases.
- Installeer de out-of-band updates volgens Microsoft’s instructies, zonder onnodig uitstel.
- Controleer monitoring en logging zodat je later toegangspatronen kunt herleiden.
- Beperk risico door kritisch te kijken naar accounts met brede rechten, zeker rond mailbox-toegang.
Door deze stappen te combineren met een snelle patchinstallatie verklein je de kans dat geauthenticeerde aanvallers misbruik kunnen maken van de zwakke autorisatie in Exchange.
Gerelateerde aandachtspunten: fundamentals die blijven tellen
Security teams zien het steeds vaker terug: kwetsbaarheden in autorisatie en rechten (zoals bij Exchange) kunnen enorme impact hebben. Als je organisatie werkt aan structurele verbetering, helpt het om die basis stevig te houden, ook als er tegelijk veel nieuwe dreigingen ontstaan rondom AI en geautomatiseerde aanvallen.
Meer achtergrond over waarom dit type security-fundamentals niet “achterhaald” raakt door nieuwe technologie vind je in Focus op security fundamentals: AI versnelt, basis blijft.
Daarnaast is het nuttig om te zien hoe mailbox- en accountrisico’s samenkomen met bredere credential-kwesties. Dit sluit aan bij Credential layer groeit sneller dan security teams.
Conclusie
De kwetsbaarheid CVE-2026-96940 maakt het voor geauthenticeerde aanvallers mogelijk om rechten op te schalen en Microsoft Exchange mailboxen van andere gebruikers binnen dezelfde organisatie uit te lezen. Met een CVSS-score van 8,8 en een exploitability-kwalificatie van “Exploitation More Likely” is snelle patching op on-premises Exchange Server essentieel.
Voor Exchange Online heeft Microsoft al een service-side fix uitgerold, maar organisaties met on-prem componenten moeten direct handelen. Door je omgeving te inventariseren, de updates te installeren en je monitoring te controleren, verklein je de kans op datalekken via mailbox-lezen aanzienlijk.
Bron: https://thehackernews.com/2026/10/microsoft-exchange-flaw-lets.html
