El 2 de octubre de 2026 Microsoft publicó un aviso para CVE-2026-96940, una vulnerabilidad de escalada de privilegios en Exchange Server, y la acompañó con un lanzamiento fuera de banda que llama September 2026 V2 security updates. La falla proviene de una autorización débil: un atacante que ya posee una cuenta válida en tu organización puede elevar privilegios a través de la red y leer los buzones de otros usuarios de la misma organización, incluyendo sus mensajes y adjuntos. No se requiere interacción del usuario, y Microsoft aclara que la falla no permite el acceso entre límites de inquilino.
La vulnerabilidad está calificada como Important y tiene una puntuación CVSS base de 8.8, con el camino de ataque resumido en el vector: alcanzable por red, complejidad baja, privilegios bajos requeridos, sin interacción del usuario y alto impacto en confidencialidad, integridad y disponibilidad. Microsoft descubrió el problema internamente, acreditó el hallazgo a su propia investigadora Jan Mitchell, dice que no tiene conocimiento de explotación activa y que no hay divulgación pública de detalles técnicos. Al mismo tiempo, la compañía marcó la falla con una evaluación de explotación de “Exploitation More Likely”, que es la forma de Microsoft de decir que los atacantes suelen convertir en arma este tipo de falla y que los administradores no deberían esperar al siguiente ciclo programado de parches.
En qué se convierte una cuenta comprometida
El requisito de autenticación es la parte más malinterpretada de este aviso. No significa que la falla sea inofensiva. Significa que el único prerrequisito es una credencial que funcione, y las credenciales que funcionan son exactamente lo que las operaciones de phishing producen a escala industrial. Una sola contraseña robada, un empleado malintencionado o una cuenta tomada mediante una infección de malware previa bastan para cumplir la condición y empezar a leer el correo de otras personas.
El objetivo es valioso. Los buzones de Exchange guardan mensajes de restablecimiento de contraseña, facturas, negociaciones de contratos, conversaciones de recursos humanos y correspondencia ejecutiva. Un atacante que puede leer en silencio el buzón de un empleado de finanzas o de un vicepresidente tiene ventaja en cada caso de compromiso de correo empresarial que venga después, sin enviar un solo mensaje sospechoso que una pasarela pueda detectar. Por eso el verdadero riesgo aquí es la confidencialidad de los buzones, no la disponibilidad del servidor.
Un lanzamiento que sorprendió a los administradores
La secuencia de publicación fue inusual. Microsoft desplegó una corrección relacionada del lado del servicio en Exchange Online en la última semana de septiembre, antes de que las actualizaciones de seguridad vinieran acompañadas de un artículo KB que explicara su contenido, lo que tomó por sorpresa a los administradores. El equipo de Exchange Server reconoció después que la actualización se publicó por delante de su calendario previsto, aunque no explicó por qué ocurrió. Los clientes de Exchange Online ya están protegidos por la corrección del lado del servicio y no necesitan hacer nada, pero las organizaciones con despliegues híbridos deben parchear sus servidores locales, incluidos los servidores usados solo para gestión, y las estaciones con Exchange Management Tools.
Quién debe actuar y con qué paquete
La actualización September 2026 V2 añade protección para CVE-2026-96940 sobre las actualizaciones de seguridad originales de septiembre, así que las organizaciones que instalaron el lanzamiento anterior deben instalar también este. Los paquetes y builds corregidos por producto son:
- Exchange Server Subscription Edition RTM: KB5129955, build corregida 15.02.2562.053
- Exchange Server 2019 Cumulative Update 15: KB5129956, build corregida 15.02.1748.053
- Exchange Server 2019 Cumulative Update 14: KB5129957, build corregida 15.02.1544.048
- Exchange Server 2016 Cumulative Update 23: KB5129958, build corregida 15.01.2507.075
Hay una nota incómoda para quien siga en Exchange 2016 o 2019. Ambas versiones están fuera del soporte principal, y sus últimos parches solo están disponibles mediante el programa Period 2 Extended Security Update, que cubre de mayo a octubre de 2026, requiere una compra separada y no se volverá a extender. Después de octubre, el único camino compatible para recibir actualizaciones de seguridad actuales es Exchange Server Subscription Edition.
Microsoft recomienda ejecutar el script Health Checker para identificar actualizaciones pendientes y acciones manuales, instalar el paquete correspondiente en todos los servidores, reiniciar y confirmar que los servicios de Exchange arrancan de forma saludable. El lanzamiento lista problemas conocidos, incluidos errores HTTP 500 en archivos de calendario publicados y bloqueos de ContentEngine que afectan al correo en coreano, así que planifica bien tu ventana de mantenimiento.
Por qué DMARC pertenece a esta conversación
Es justo preguntarse qué tiene que ver una vulnerabilidad de lectura de buzones con la autenticación de dominio. La respuesta es que ambas amenazas se alimentan mutuamente. La credencial que abre CVE-2026-96940 suele robarse mediante correo falsificado, y un DMARC aplicado es una de las formas más baratas y efectivas de hacer que esas suplantaciones de tu dominio reboten en el receptor. Una política p=reject significa que el receptor rechaza un mensaje que dice venir de tu dominio salvo que realmente provenga de infraestructura que tú autorices, lo que elimina el atajo de suplantación más común.
Hay un segundo vínculo, más sutil. Si un atacante pasa de la lectura al control de un buzón que envía correo, sus mensajes pasarán SPF, DKIM y DMARC legítimamente, porque realmente está usando tu infraestructura. Los reportes agregados de DMARC son uno de los pocos lugares donde eso aparece pronto. Una fuente de envío nueva, un resultado de autenticación que cambia sin que tú hayas hecho nada, o anomalías de volumen en tus reportes son exactamente las señales que delatan un componente interno comprometido, siempre que alguien los esté leyendo.
Qué significa para tu programa
Parchea primero, esta semana. Un lanzamiento fuera de banda con evaluación “Exploitation More Likely” no es un simulacro. Identifica cada servidor Exchange local, incluidos los híbridos y los de solo gestión, aplica el paquete V2 correspondiente y verifica el número de build corregida.
Trata las credenciales válidas como el perímetro. El único prerrequisito de la falla es una cuenta autenticada. Aplica autenticación multifactor, busca credenciales obsoletas y protege el correo de restablecimiento de contraseña como el activo que es.
Mantén DMARC en aplicación, no solo publicado. Un registro con p=none observa pero no protege. Los dominios que alcanzan y mantienen p=reject eliminan el camino de suplantación más fácil, el que produce las credenciales robadas que esta falla necesita.
Vigila los reportes agregados durante y después del parcheo. Toda fuente de envío inesperada o cambio en los resultados de autenticación mientras trabajas en un incidente merece una segunda mirada, porque los reportes son la capa de telemetría que ve a tu propia infraestructura portarse mal.
La conclusión
CVE-2026-96940 no es la vulnerabilidad más ruidosa del mes, pero es un ejemplo de manual de cómo los ataques modernos de correo se encadenan. Una credencial robada mediante phishing se convierte en la llave de los buzones de otras personas, y la inteligencia reunida ahí se convierte en el siguiente caso de compromiso de correo empresarial. Parchea tus servidores antes de que la cadena avance, y mantén la autenticación de tu dominio lo bastante fuerte como para que el primer eslabón nunca se forme.
Cada ataque de correo deja una huella en tus datos de autenticación. Excello Mail convierte tus señales de DMARC, SPF y DKIM en una vista en vivo de lo que tu dominio está haciendo realmente, para que las fuentes de envío nuevas y las anomalías destaquen de inmediato. Regístrate gratis en Excello Mail y descubre lo que tu dominio lleva tiempo diciendo al mundo.