Microsoft, Exchange Server'da Aktif Sömürü Riski Taşıyan Zafiyeti Yamaladı
Microsoft, Exchange Server ürünlerinde tespit edilen ve yüksek ciddiyet derecesine sahip CVE-2026-96940 kodlu zafiyet için bant dışı bir güvenlik güncellemesi yayınladı. CVSS puanı 8.8 olarak belirlenen bu açık, zayıf yetkilendirme mekanizmasından kaynaklanıyor ve ağ üzerinde geçerli kimlik bilgilerine sahip bir saldırganın, normalde sahip olmaması gereken yüksek ayrıcalıklara ulaşmasına imkan tanıyor.
2 Ekim 2026 tarihinde duyurulan bu güvenlik açığı, başarılı bir şekilde sömürüldüğünde saldırganların aynı organizasyon içerisindeki diğer kullanıcıların posta kutularına erişmesini sağlıyor. Bu durum, saldırganların e-posta içeriklerini ve ekli dosyaları okuyabilmesine olanak tanırken, Microsoft, zafiyetin kiracı sınırlarını aşan bir erişime izin vermediğini belirtti. Araştırmacı Jan Mitchell tarafından keşfedilen bu durum için yazılım devi, sömürülme ihtimalinin yüksek olduğunu vurgulayarak kullanıcıları uyarıyor.
Bulut tabanlı Exchange çevrimiçi hizmeti için gerekli düzeltmelerin halihazırda yapıldığı ve kullanıcıların ek bir işlem yapmasına gerek olmadığı bildirildi. Ancak şirket içi (on-premises) kurulum kullanan kurumların, etkilenen sürümler için yayınlanan güncellemeleri hızla yüklemesi gerekiyor. Güncelleme gerektiren sürümler arasında Exchange Server Subscription Edition RTM, Exchange Server 2016 Cumulative Update 23, Exchange Server 2019 Cumulative Update 15 ve Exchange Server 2019 Cumulative Update 14 yer alıyor.
