Microsoft heeft zeven kwetsbaarheden verholpen in Exchange. Dat meldt het NCSC in advisory NCSC-2026-0419, gepubliceerd op 13 oktober 2026.
Een kwaadwillende kan de fouten misbruiken om zich voor te doen als een andere gebruiker, zich verhoogde rechten toe te kennen of willekeurige code uit te voeren met de rechten van het Exchange-proces. De lijst bevat onder meer een cross-site scripting-fout, een stack-based bufferoverloop, een probleem met de verificatie van cryptografische handtekeningen en onveilige deserialisatie van niet-vertrouwde data.
Opvallend is CVE-2026-96940: voor die kwetsbaarheid bracht Microsoft al eerder een out-of-band-update uit, los van de reguliere Patch Tuesday-cyclus. Die fix is nu ook opgenomen in deze cumulatieve update, dus wie destijds al patchte loopt niet alsnog risico, maar mist wel de andere zes fixes als de nieuwe update niet wordt geïnstalleerd.
De kwetsbaarheden treffen Exchange Server 2016 Cumulative Update 23, Exchange Server 2019 Cumulative Update 14 en 15, en Exchange Server Subscription Edition RTM. Het NCSC publiceert voor deze advisory geen CVSS-tabel per CVE. Over actief misbruik of een publiek bekende proof-of-concept is niets gemeld.
Mailbeheerders die on-premises Exchange draaien, nemen deze update doorgaans serieuzer dan gemiddeld: Exchange-servers zijn al jaren een geliefd doelwit en staan vaak met een stukje functionaliteit rechtstreeks aan het internet bloot. Dezelfde Patch Tuesday-ronde bracht ook updates voor Windows.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u een on-premises Exchange Server? Installeer deze cumulatieve update ook als u de eerdere out-of-band-patch voor CVE-2026-96940 al had toegepast: de nieuwe update bevat ook de overige zes fouten.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.