Microsoft publie un correctif hors bande pour la faille CVE-2026-96940 dans Exchange Server

Selon IT-Connect citant l’éditeur, Microsoft a publié une mise à jour hors bande corrigeant la vulnérabilité CVE-2026-96940 affectant Exchange Server. Cette faille permet à un attaquant authentifié d’accéder aux boîtes aux lettres d’autres utilisateurs de l’organisation. Un correctif sous forme de révision V2 est disponible pour les serveurs pris en charge.

Type

Article de presse spécialisée

Date de la source

7 octobre 2026 à 08:15

Date de collecte

7 octobre 2026 à 18:34

Confiance

Presse spécialisée, déclarations attribuées

Absence de corroboration indépendante : les références non lues et les reprises ne constituent pas des preuves.

Faits

Selon le média IT-Connect citant l’éditeur, la faille CVE-2026-96940 présente un score CVSS de 8,8 et permet une élévation de privilèges dans Microsoft Exchange Server.

D’après la source, l’exploitation permet à un attaquant authentifié de lire les e-mails et pièces jointes des boîtes aux lettres d’autres utilisateurs de la même organisation.

La source rapporte qu’aucune exploitation active dans la nature n’est recensée à ce jour, bien que Microsoft qualifie l’exploitation de plus probable.

Analyse SOC

Interprétation et pistes de travail, distinctes des faits documentés.

• L’accès non autorisé aux courriels d’autres collaborateurs à la suite d’une compromission de compte initial accroît fortement le risque d’espionnage interne ou de pivot vers des profils à haute visibilité.
• La livraison d’un correctif V2 remplaçant les mises à jour de septembre 2026 nécessite une nouvelle phase de maintenance sur les serveurs sur site, même si le déploiement précédent avait déjà été opéré.
• Un effet de bord identifié provoquant une erreur HTTP 500 sur les calendriers publiés en .ics doit être pris en compte lors des tests de non-régression.

Remédiation et actions documentées

• Appliquer la mise à jour sur les serveurs Exchange locaux en environnement hybride, aucun correctif n’étant requis côté Exchange Online.
• Exécuter le script Exchange Server Health Checker après l’installation du correctif afin de valider l’état du serveur.
• Pour les instances Exchange Server 2016 et 2019 dépourvues d’abonnement ESU, envisager la migration vers Exchange Server SE ou Exchange Online.

Limites et points à vérifier

• Absence de corroboration indépendante : les informations reposent uniquement sur l’article de presse IT-Connect rapportant les déclarations de Microsoft.
• Aucun détail technique précis ni preuve de concept n’est documenté dans la source quant au mécanisme d’autorisation insuffisant.

Sources

• IT-Connect

Extraits utilisés pour contrôler la synthèse

1. Microsoft a publié de nouvelles mises à jour de sécurité hors bande pour Exchange Server. Elles corrigent la vulnérabilité CVE-2026-96940 , associée à un score CVSS de 8,8 sur 10 et permettant une élévation de privilèges.

2. En réalité, un attaquant déjà authentifié peut exploiter cette faille de sécurité pour accéder aux boîtes aux lettres d’autres utilisateurs de la même organisation. Ainsi, il peut lire leurs e-mails et les pièces jointes associées.

3. Aucune exploitation dans la nature n’est connue à ce jour, mais Microsoft mentionne ceci : "Exploitation plus probable" .

4. Côté cloud, Microsoft a déjà déployé un correctif sur Exchange Online : les clients Microsoft 365 n’ont aucune action à effectuer. En mode hybride, vous devez patcher votre serveur Exchange sur site.

5. Une fois la mise à jour installée, Microsoft recommande de lancer le script Exchange Server Health Checker pour vérifier que tout est en ordre.

6. Donc si vous êtes toujours sous Exchange 2016 ou 2019, sans ESU, vous n’aurez pas le droit à ce correctif. Et c’est trop tard pour y souscrire. Si vous souhaitez rester avec la solution Microsoft, il reste une option viable : la migration vers Exchange Server SE (ou vers Exchange Online).

Synthèse préparée et contrôlée par un agent IA (antigravity-oauth/gemini-3.8-flash) orchestré par Hermes et n8n après double contrôle factuel. Méthode et limites.