What does this mean?
- NCSC rates the likelihood of abuse as medium and the possible impact as high.
- 7 vulnerabilities, highest CVSS 8.8. See "Show CVE information" for each CVE.
- Affects: Exchange, Microsoft Exchange Server 2016 Cumulative Update 23, Microsoft Exchange Server 2019 Cumulative Update 14, Microsoft Exchange Server 2019 Cumulative Update 15, Microsoft Exchange Server Subscription Edition RTM.
- What should you do? Microsoft heeft updates beschikbaar gesteld waarmee de beschreven kwetsbaarheden worden verholpen. We raden u aan om deze updates te installeren. Meer informatie over de kwetsbaarheden, de installatie van de updates en eventuele work-arounds vindt u op:
Microsoft heeft kwetsbaarheden verholpen in Exchange. Een kwaadwillende kan de kwetsbaarheden misbruiken om zich voor te doen als andere gebruiker, zich verhoogde rechten toe te kennen en willekeurige code uit te voeren met rechten van het proces.
Van de kwetsbaarheid met kenmerk CVE-2026-96940 is eerder al een out-of-band update verschenen, maar is ook opgenomen in deze cumulatieve update.
Show CVE information (7)
How do I check if I am affected?
Exchange Server: check and update
- Check your server versions in the Exchange Management Shell:
Get-ExchangeServer | Format-List Name,AdminDisplayVersion - Microsoft's Exchange Health Checker (CSS-Exchange on GitHub) shows which updates are missing per server.
- Install the security update (SU) for the CU you run. Microsoft updates Exchange Online.
What kind of flaw is this?
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
Input is not cleaned before it appears in a web page (cross-site scripting). An attacker can run script in another user's browser. - CWE-347: Improper Verification of Cryptographic Signature
A digital signature is not verified correctly. - CWE-502: Deserialization of Untrusted Data
The software turns received data into objects without checking it. With crafted data an attacker can get code to run. - CWE-863: Incorrect Authorization
The check whether a user may do something does not work correctly.
Key facts
CWE-121: Stack-based Buffer Overflow
CWE-347: Improper Verification of Cryptographic Signature
CWE-502: Deserialization of Untrusted Data
CWE-829: Inclusion of Functionality from Untrusted Control Sphere
CWE-863: Incorrect Authorization
CWE-1390: Weak Authentication
Revisions
| Version | Date | Note |
|---|---|---|
| 1.0.0 | 13-10-2026 20:28 CEST | Initiele versie |
Description
Microsoft heeft kwetsbaarheden verholpen in Exchange.
Interpretation
Een kwaadwillende kan de kwetsbaarheden misbruiken om zich voor te doen als andere gebruiker, zich verhoogde rechten toe te kennen en willekeurige code uit te voeren met rechten van het proces.
Van de kwetsbaarheid met kenmerk CVE-2026-96940 is eerder al een out-of-band update verschenen, maar is ook opgenomen in deze cumulatieve update.
Solutions
Microsoft heeft updates beschikbaar gesteld waarmee de beschreven kwetsbaarheden worden verholpen. We raden u aan om deze updates te installeren. Meer informatie over de kwetsbaarheden, de installatie van de updates en eventuele work-arounds vindt u op:
https://portal.msrc.microsoft.com/en-us/security-guidance
Products
Exchange, Microsoft Exchange Server 2016 Cumulative Update 23, Microsoft Exchange Server 2019 Cumulative Update 14, Microsoft Exchange Server 2019 Cumulative Update 15, Microsoft Exchange Server Subscription Edition RTM
Source: NCSC CSAF advisory (CC0). Original at NCSC →
This is in the weekly digest for week 42: everything that changed in Microsoft 365 this week. →
Read the full advisory at NCSC → ← All security advisories
Source: NCSC, reused under CC0. 365Fanatic is not affiliated with NCSC.
