Microsoft ha publicado una actualización de seguridad para sus servidores Exchange que los administradores deben instalar de inmediato para mitigar un riesgo de seguridad clasificado como crítico. El parche, lanzado el fin de semana, cierra una vulnerabilidad de ampliación de permisos (CVE-2026-96940) con una puntuación CVSS de 8.8, que permite a atacantes autenticados extender sus privilegios y acceder a las bandejas de entrada de otros usuarios, aunque no puede superar las fronteras de los inquilinos (tenants).
La actualización es compatible con Exchange SE RTM, Exchange Server 2019 (CU14 y CU15) y Exchange Server 2016 (CU23). Para las versiones más antiguas, se requiere la suscripción de la segunda fase del Programa de Actualizaciones de Seguridad Extendida (ESU). Además de la corrección principal, el parche resuelve otros problemas, como la aparición de mensajes en bandejas de entrada compartidas y errores de disponibilidad en entornos híbridos. Sin embargo, el artículo señala que el parche introduce efectos secundarios: los calendarios publicados pueden generar errores HTTP 500 y la función de ContentEngine puede sufrir bloqueos (deadlocks) debido a problemas de tokenización en el idioma coreano. Microsoft planea corregir estos nuevos fallos en una actualización futura. Los administradores deben asegurarse de que los servidores en la nube se actualicen automáticamente, mientras que los servidores locales (on-premises) requieren la intervención manual del equipo de administración. Se recomienda instalar las actualizaciones también en instancias de Exchange utilizadas exclusivamente como herramientas de gestión.