Allarme Microsoft Exchange: una falla permette di leggere le email dei colleghi

Una casella Exchange può esporre le email dei colleghi se un account già autenticato sfrutta una falla nei controlli di autorizzazione. La segnalazione riguarda Microsoft Exchange Server e descrive un accesso ai messaggi di altri utenti della stessa organizzazione. Per chi gestisce server locali, la priorità è verificare le patch: gli aggiornamenti disponibili non sono necessariamente la correzione confermata per questa vulnerabilità.

Non serve entrare da fuori: il rischio nasce da un account valido

Il dettaglio che cambia la portata dell’allarme è semplice: l’aggressore dovrebbe essere già autenticato. Stando alla descrizione diffusa, non si tratta di una porta spalancata a chiunque su Internet, ma di un abuso dei permessi in un ambiente Exchange Server.

La falla sarebbe nella logica di autorizzazione e permetterebbe di leggere le email di altri utenti della stessa organizzazione. Una password rubata o un account compromesso potrebbero aprire l’accesso a caselle che dovrebbero restare chiuse. Una serratura interna, non il portone principale.

La segnalazione collega il problema alla CVE-2026-96940 e indica un punteggio CVSS v3.1 di 8,8. Sono dati da prendere sul serio, ma la gravità tecnica non dimostra che nella tua azienda sia già avvenuto un attacco. Il punto è chiaro: controllare gli accessi è urgente quanto installare gli aggiornamenti. Cambiare una password non basta.

Server locali sotto pressione, Exchange Online è un caso distinto

Per capire come intervenire, devi prima sapere dove gira la posta. Secondo la segnalazione, Microsoft ha applicato una mitigazione lato servizio a Exchange Online; chi gestisce Exchange Server nei propri datacenter deve invece intervenire sui sistemi locali.

La fonte che descrive la CVE riferisce che il 2 ottobre 2026 è stato rilasciato un aggiornamento d’emergenza, fuori dal normale ciclo di patch. Le pagine Microsoft citate per gli aggiornamenti KB 5121609 e KB 5103214, però, non collegano esplicitamente quei pacchetti alla CVE-2026-96940 né chiariscono, negli estratti disponibili, quali build siano coinvolte. Non tirare a indovinare: una patch uscita più o meno nello stesso periodo non è automaticamente quella giusta.

Per gli amministratori, la scelta più sensata è confrontare la versione installata con le indicazioni ufficiali del supporto Microsoft e applicare l’aggiornamento previsto per quella build. La prudenza qui evita un errore concreto: mettere la toppa sulla porta sbagliata.

La verifica utile non finisce con l’installazione

Dopo l’aggiornamento, verifica che sia stato applicato davvero e che Exchange non segnali errori. Microsoft indica lo strumento Exchange Server Health Checker per controllare lo stato del server e individuare problemi di configurazione o aggiornamento. Usalo come verifica tecnica, non come certificato automatico di sicurezza.

La checklist è breve: controlla la build, installa la correzione indicata per quella versione, esegui Health Checker e rivedi gli account con accessi ampi o insoliti. Se l’organizzazione ha rilevato attività sospette, conserva i log e valuta con il team di sicurezza se qualcuno abbia consultato caselle senza autorizzazione. Dato che la falla descritta riguarda la lettura delle email, gli accessi alle mailbox meritano particolare attenzione.

Una mitigazione su Exchange Online non protegge automaticamente un server locale. E nessun avviso non significa che tutto sia stato verificato. Il giudizio è semplice: prima si controlla, poi si archivia l’allarme. Una casella di posta non dovrebbe diventare una stanza con la porta socchiusa.

Per chi gestisce Exchange on-premises, la priorità è sapere quale versione è in produzione e quale aggiornamento Microsoft prevede per quella versione. Il resto viene dopo.

Julia Glawi

A 38 anni, sono una geek dichiarata e appassionata. Il mio universo ruota attorno ai fumetti, alle ultime serie TV di culto e a tutto ciò che fa battere forte il cuore della cultura pop. Su questo blog vi apro le porte del mio piccolo ‘regno’ per condividere con voi i miei highlight personali, le mie analisi e la mia vita da collezionista