微软Exchange漏洞曝光：攻击者可窃取全组织邮箱，建议立即修复

微软发布针对CVE-2026-96940的补丁，这是一个高危的Exchange提权漏洞

拥有被盗用户凭证的攻击者，可借此访问同组织内其他员工的邮箱及邮件内容

目前尚未发现有在野利用，但微软将该漏洞标记为“更有可能被利用”

微软近日紧急推送了一项针对Exchange Server的更新，修复了一个可能给邮件用户带来严重安全隐患的高危漏洞。

根据美国国家漏洞数据库（NVD）的描述，该公司修补的CVE-2026-96940漏洞是“微软Exchange Server中存在的弱授权问题，该问题允许经过身份验证的攻击者通过网络提升权限”。

根据微软的安全公告，这一漏洞的严重性评分为8.8/10（高危），攻击者可借此在同一组织内未经授权地访问他人的收件箱。

理论上，威胁行动者只要获取了某个低权限Exchange用户的凭证，就可以利用CVE-2026-96940提升自身在Exchange系统中的权限，进而读取组织内其他员工的机密邮件和附件。

不过，该漏洞无法用于跨租户访问。

建立立足点

要利用该漏洞，攻击者需要事先获得经过验证的访问权限。但这对攻击者来说并非难事，因为他们可以轻易从暗网购买登录凭证，或者通过网络钓鱼手段部署信息窃取程序来获取这些机密信息。

因此，即便是一个“普通”员工的邮箱账号，也足以成为攻击者建立立足点、提升权限、进而访问组织内更高层级人员邮箱的突破口。

此时，该漏洞的价值便凸显出来。企业邮箱账号往往包含机密文件、合同、发票、内部讨论记录等敏感信息，攻击者可利用这些信息发起后续攻击，比如商业邮件欺诈（BEC）。

需要强调的是，CVE-2026-96940并不会授予攻击者底层Windows服务器的管理员或SYSTEM级别权限。微软披露的攻击场景主要聚焦于在Exchange系统内部提升权限，并未经授权访问其他用户的邮箱。

微软进一步解释称，Exchange Online的用户已经受到保护，因为公司已部署了相关的“服务端”修复措施。但对于使用本地部署版Microsoft Exchange Server产品的用户，则应升级到最新版本以避免成为攻击目标。

以下是受影响版本列表：

微软Exchange Server订阅版RTM

微软Exchange Server 2016累积更新23

微软Exchange Server 2019累积更新15

微软Exchange Server 2019累积更新14

微软表示，目前没有证据显示该漏洞已被在野利用，截至发稿时，美国网络安全和基础设施安全局（CISA）也尚未将其列入“已知被利用漏洞”（KEV）目录。不过，这家Windows制造商仍将该漏洞标记为“更有可能被利用”，意味着网络犯罪分子可能会尝试利用它，并提醒用户尽快应用相关补丁。

值得一提的是，Exchange Server 2016和Exchange Server 2019均已在去年停止支持。微软表示，这些最新的安全更新仅提供给已加入其“第二阶段扩展安全更新”（ESU）计划的组织。

该计划为符合条件的Exchange Server 2016和2019用户提供了2026年5月至10月底期间发布的安全更新。微软敦促尚未加入该计划的组织尽快迁移至Exchange Server订阅版（SE），以便继续获得最新的安全修复。

非常规发布

微软于10月2日发布了该补丁，作为其2026年9月第二版Exchange Server安全更新的一部分。最初的9月更新发布于9月8日，该公司补充说明，这两个版本之间的主要区别就在于针对CVE-2026-96940的修复。

在发布该补丁时，微软证实这是“提前于原定计划”推送的，但并未进一步说明原因。或许将该漏洞标记为“更有可能被利用”已经是最充分的解释了，尤其是该公司还敦促客户查阅其部署指南并尽快应用此次更新。

安装更新后，微软还建议管理员运行其Exchange Server健康检查工具（Health Checker）。该工具可以验证安全更新是否成功安装，并判断是否需要采取其他额外措施。

Q&A

Q1：CVE-2026-96940漏洞具体会造成什么影响？

A：该漏洞允许拥有被盗用户凭证的攻击者提升权限，从而未经授权访问同一组织内其他员工的邮箱，读取机密邮件和附件，但无法用于跨租户访问，也不会授予服务器管理员级权限。

Q2：哪些版本的Exchange Server受到此次漏洞影响？

A：受影响的版本包括微软Exchange Server订阅版RTM、Exchange Server 2016累积更新23、Exchange Server 2019累积更新15以及累积更新14。使用Exchange Online的用户已通过服务端修复得到保护。

Q3：目前这个漏洞是否已经被黑客利用？

A：微软表示目前没有证据显示该漏洞已被在野利用，CISA的已知被利用漏洞目录中也未收录该漏洞。但微软将其标记为“更有可能被利用”，建议用户尽快安装补丁以防范潜在风险。