Em 2 de outubro de 2026 a Microsoft publicou um comunicado para a CVE-2026-96940, uma vulnerabilidade de elevação de privilégios no Exchange Server, e a acompanhou com um lançamento fora de banda que chama de September 2026 V2 security updates. A falha vem de uma autorização fraca: um atacante que já possui uma conta válida na sua organização pode elevar privilégios pela rede e ler as caixas de correio de outros usuários da mesma organização, incluindo mensagens e anexos. Não é necessária interação do usuário, e a Microsoft afirma que a falha não permite acesso entre limites de inquilino.
A vulnerabilidade é classificada como Important e carrega uma pontuação CVSS base de 8.8, com o caminho de ataque resumido no vetor: acessível pela rede, complexidade baixa, privilégios baixos exigidos, sem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. A Microsoft descobriu o problema internamente, credita a descoberta à sua própria pesquisadora Jan Mitchell, diz que não tem conhecimento de exploração ativa e que não houve divulgação pública de detalhes técnicos. Ao mesmo tempo, a empresa marcou a falha com uma avaliação de exploração de “Exploitation More Likely”, que é a forma da Microsoft de dizer que atacantes costumam transformar esse tipo de falha em arma e que os administradores não deveriam esperar o próximo ciclo programado de patches.
No que uma conta comprometida se transforma
O requisito de autenticação é a parte mais mal compreendida deste comunicado. Não significa que a falha é inofensiva. Significa que o único pré-requisito é uma credencial funcional, e credenciais funcionais são exatamente o que as operações de phishing produzem em escala industrial. Uma única senha roubada, um funcionário mal-intencionado ou uma conta tomada por uma infecção de malware anterior bastam para cumprir a condição e começar a ler o correio de outras pessoas.
O alvo é valioso. As caixas do Exchange guardam mensagens de redefinição de senha, faturas, negociações de contratos, conversas de recursos humanos e correspondência executiva. Um atacante que consegue ler em silêncio a caixa de um funcionário do financeiro ou de um vice-presidente tem vantagem em todo caso de comprometimento de e-mail corporativo que vier depois, sem enviar uma única mensagem suspeita que um gateway pudesse detectar. Por isso a verdadeira aposta aqui é a confidencialidade das caixas postais, não a disponibilidade do servidor.
Um lançamento que surpreendeu os administradores
A sequência de lançamento foi incomum. A Microsoft implantou uma correção relacionada do lado do serviço no Exchange Online na última semana de setembro, antes que as atualizações de segurança viessem acompanhadas de um artigo KB explicando seu conteúdo, o que pegou os administradores de surpresa. A equipe do Exchange Server reconheceu depois que a atualização foi publicada à frente do cronograma previsto, embora não tenha explicado por que isso aconteceu. Os clientes do Exchange Online já estão protegidos pela correção do lado do serviço e não precisam fazer nada, mas organizações com implantações híbridas ainda precisam corrigir seus servidores locais, incluindo servidores usados apenas para gestão, e as estações que executam o Exchange Management Tools.
Quem precisa agir e com qual pacote
A atualização September 2026 V2 adiciona proteção para a CVE-2026-96940 sobre as atualizações de segurança originais de setembro, então quem instalou o lançamento anterior também precisa instalar esta. Os pacotes e builds corrigidos por produto são:
- Exchange Server Subscription Edition RTM: KB5129955, build corrigida 15.02.2562.053
- Exchange Server 2019 Cumulative Update 15: KB5129956, build corrigida 15.02.1748.053
- Exchange Server 2019 Cumulative Update 14: KB5129957, build corrigida 15.02.1544.048
- Exchange Server 2016 Cumulative Update 23: KB5129958, build corrigida 15.01.2507.075
Há uma nota desconfortável para quem ainda está no Exchange 2016 ou 2019. As duas versões estão fora do suporte principal, e seus últimos patches estão disponíveis apenas por meio do programa Period 2 Extended Security Update, que cobre de maio a outubro de 2026, exige uma compra separada e não será estendido novamente. Depois de outubro, o único caminho suportado para receber atualizações de segurança atuais é o Exchange Server Subscription Edition.
A Microsoft recomenda executar o script Health Checker para identificar atualizações pendentes e ações manuais, instalar o pacote correspondente em todos os servidores, reiniciar e confirmar que os serviços do Exchange voltam saudáveis. O lançamento lista problemas conhecidos, incluindo erros HTTP 500 em arquivos de calendário publicados e travamentos do ContentEngine que afetam e-mail em coreano, então planeje bem sua janela de manutenção.
Por que o DMARC pertence a esta conversa
É justo perguntar o que uma vulnerabilidade de leitura de caixas postais tem a ver com autenticação de domínio. A resposta é que as duas ameaças se alimentam mutuamente. A credencial que abre a CVE-2026-96940 costuma ser roubada por e-mail falsificado, e um DMARC aplicado é uma das formas mais baratas e eficazes de fazer essas falsificações do seu domínio devolverem no destinatário. Uma política p=reject significa que o destinatário recusa uma mensagem que diz vir do seu domínio, a menos que realmente provenha de infraestrutura que você autorize, o que elimina o atalho de falsificação mais comum do cenário.
Existe um segundo elo, mais sutil. Se um atacante passar da leitura ao controle de uma caixa que envia e-mail, as mensagens dele passarão por SPF, DKIM e DMARC legitimamente, porque ele está mesmo usando a sua infraestrutura. Os relatórios agregados de DMARC são um dos poucos lugares onde isso aparece cedo. Uma nova fonte de envio, um resultado de autenticação que muda sem que você tenha feito nada, ou anomalias de volume nos seus relatórios são exatamente os sinais que denunciam um componente interno comprometido, desde que alguém esteja lendo.
O que isso significa para o seu programa
Aplique o patch primeiro, esta semana. Um lançamento fora de banda com avaliação “Exploitation More Likely” não é simulacro. Identifique cada servidor Exchange local, incluindo os híbridos e os usados só para gestão, aplique o pacote V2 correspondente e confirme o número da build corrigida.
Trate credenciais válidas como o perímetro. O único pré-requisito da falha é uma conta autenticada. Imponha autenticação multifator, procure credenciais obsoletas e proteja o e-mail de redefinição de senha como o ativo que ele é.
Mantenha o DMARC em aplicação, não apenas publicado. Um registro com p=none observa, mas não protege. Domínios que alcançam e mantêm p=reject removem o caminho de falsificação mais fácil, aquele que produz as credenciais roubadas de que esta falha depende.
Monitore os relatórios agregados durante e depois do patcheamento. Qualquer fonte de envio inesperada ou mudança nos resultados de autenticação enquanto você trabalha em um incidente merece uma segunda olhada, porque os relatórios são a camada de telemetria que vê a sua própria infraestrutura se comportando mal.
A conclusão
A CVE-2026-96940 não é a vulnerabilidade mais barulhenta do mês, mas é um exemplo de manual de como os ataques modernos de e-mail se encadeiam. Uma credencial obtida por phishing vira a chave das caixas de outras pessoas, e a inteligência reunida ali vira o próximo caso de comprometimento de e-mail corporativo. Aplique o patch nos seus servidores antes que a cadeia avance, e mantenha a autenticação do seu domínio forte o bastante para que o primeiro elo nunca se forme.
Cada ataque de e-mail deixa um rastro nos seus dados de autenticação. O Excello Mail transforma seus sinais de DMARC, SPF e DKIM em uma visão ao vivo do que seu domínio realmente está fazendo, para que fontes de envio novas e anomalias saltem aos olhos imediatamente. Cadastre-se gratuitamente no Excello Mail e veja o que seu domínio vem contando ao mundo.