شرکت مایکروسافت به‌روزرسانی‌های امنیتی نسخه V2 سپتامبر ۲۰۲۶ را برای رفع یک نقص امنیتی در Exchange Server منتشر کرد. این آسیب‌پذیری که با شناسه CVE-2026-96940 ردیابی می‌شود، به مهاجمان احراز هویت شده (Authenticated Attackers) اجازه می‌دهد تا به صندوق‌های پستی (Mailboxes) سایر کاربران در همان سازمان دسترسی پیدا کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی ناشی از ضعف در مکانیزم‌های مجوزدهی (Authorization) است که می‌تواند منجر به افشای پیام‌های ایمیلی و فایل‌های پیوست شود. این مورد برای سازمان‌هایی که از نسخه‌های On-premises استفاده می‌کنند، یک تهدید جدی محسوب می‌شود. امتیاز CVSS برای این آسیب‌پذیری 8.8 تعیین شده است. نکته حائز اهمیت این است که اکسپلویت این نقص نیازی به تعامل کاربر (User Interaction) ندارد و مهاجم می‌تواند پس از احراز هویت، سطح دسترسی خود را در شبکه ارتقا دهد.
وضعیت بهره‌برداری و نسخه‌های تحت تأثیر
مایکروسافت اعلام کرده است که این آسیب‌پذیری توسط تیم‌های داخلی شناسایی شده و تاکنون شواهدی مبنی بر بهره‌برداری فعال (Active Exploitation) در دنیای واقعی مشاهده نشده است. این به‌روزرسانی برای نسخه‌های زیر ارائه شده است:
- Exchange Server Subscription Edition RTM
- Exchange Server 2019 CU14 و CU15
- Exchange Server 2016 CU23
نکات حیاتی برای مدیران سیستم و SOC
سازمان‌هایی که پیش‌تر به‌روزرسانی‌های سپتامبر را نصب کرده‌اند، باید مجدداً بسته‌های جدید V2 را بررسی و نصب کنند، زیرا این اصلاحیه به صورت جداگانه اضافه شده است. همچنین لازم به ذکر است که نسخه‌های ۲۰۱۶ و ۲۰۱۹ از چرخه پشتیبانی عادی خارج شده‌اند و وصله‌های امنیتی آن‌ها تنها برای مشترکین برنامه Extended Security Update (ESU) در دسترس است.
کاربران Exchange Online در برابر این تهدید ایمن هستند، اما سازمان‌هایی که از مدل Hybrid Deployment استفاده می‌کنند، باید حتماً سرورهای محلی خود (حتی سرورهای مدیریت) را به‌روزرسانی کنند.
توصیه‌های اجرایی
مایکروسافت توصیه می‌کند مدیران شبکه از اسکریپت Exchange Server Health Checker برای شناسایی به‌روزرسانی‌های شده و اقدامات دستی مورد نیاز استفاده کنند. همچنین استفاده از Exchange Update Wizard برای برنامه‌ریزی مسیر ارتقاء پیشنهاد می‌شود. پس از نصب، ری‌استارت کردن سرور و بررسی مجدد وضعیت سرویس‌ها الزامی است.
