CVE-2026-96940

highPriorität · beachten · 46EPSS 0.027 · 86. PerzentilExploit · PoCDENLUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

2.75% (86th) EPSS

CVSS 8.8 · high

Is it mine?

20 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cert_bund · msrc_csaf · ncsc_nl · nvd

EPSS · bewertet 2026-10-27

Weak authentication in Microsoft Exchange Server allows an authorized attacker to elevate privileges over a network.

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenMicrosoft Exchange Server 2016 Cumulative Update 23msrc_csaf
15.01.2507.075:Security Update:https://support.microsoft.com/help/5129958
https://support.microsoft.com/help/5129958
BehobenMicrosoft Exchange Server 2019 Cumulative Update 14msrc_csaf
15.02.1544.048:Security Update:https://support.microsoft.com/help/5129957
https://support.microsoft.com/help/5129957
BehobenMicrosoft Exchange Server 2019 Cumulative Update 15msrc_csaf
15.02.1748.053:Security Update:https://support.microsoft.com/help/5129956
https://support.microsoft.com/help/5129956
BehobenMicrosoft Exchange Server Subscription Edition RTMmsrc_csaf
15.02.2562.053:Security Update:https://support.microsoft.com/help/5129955
https://support.microsoft.com/help/5129955

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hprimary · secure@microsoft.com USAusnutzbarkeit 2.8 · Auswirkung 5.9

v3.18.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hsecondary · NCSC-NL NL

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:Csecondary · Microsoft Security Response Center US

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-1390USCWE-1390USCWE-1390USCWE-1390US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

HORKimhab/CVE-2026-96940CVE-2026-96940PoC · poc_in_github

betroffene Produkte (20)

Betroffene Produkte und Versionsbereiche.

Microsoft Exchange Server 2016 Cumulative Update 23alle Versionencert_bundDEcpe:/a:microsoft:exchange:server_2016_cumulative_update_23
Microsoft Exchange Server 2019 Cumulative Update 14alle Versionencert_bundDEcpe:/a:microsoft:exchange:server_2019_cumulative_update_14
Microsoft Exchange Server 2019 Cumulative Update 15alle Versionencert_bundDEcpe:/a:microsoft:exchange:server_2019_cumulative_update_15
Microsoft Exchange Server Subscription Edition RTMalle Versionencert_bundDEcpe:/a:microsoft:exchange:server_subscription_edition_rtm
Microsoft Microsoft Exchange Server 2016 Cumulative Update 23alle Versionenfixedmsrc_csafUS
Microsoft Microsoft Exchange Server 2016 Cumulative Update 23< 15.01.2507.075msrc_csafUS
Microsoft Microsoft Exchange Server 2019 Cumulative Update 14alle Versionenfixedmsrc_csafUS
Microsoft Microsoft Exchange Server 2019 Cumulative Update 14< 15.02.1544.048msrc_csafUS
Microsoft Microsoft Exchange Server 2019 Cumulative Update 15alle Versionenfixedmsrc_csafUS
Microsoft Microsoft Exchange Server 2019 Cumulative Update 15< 15.02.1748.053msrc_csafUS
Microsoft Microsoft Exchange Server Subscription Edition RTMalle Versionenfixedmsrc_csafUS
Microsoft Microsoft Exchange Server Subscription Edition RTM< 15.02.2562.053msrc_csafUS
Microsoft Exchange≤ vers:unknown/*ncsc_nlNL
Microsoft Microsoft Exchange Server 2016 Cumulative Update 23≤ vers:unknown/*ncsc_nlNL
Microsoft Microsoft Exchange Server 2019 Cumulative Update 14≤ vers:unknown/*ncsc_nlNL
Microsoft Microsoft Exchange Server 2019 Cumulative Update 15≤ vers:unknown/*ncsc_nlNL
Microsoft Microsoft Exchange Server Subscription Edition RTM≤ vers:unknown/*ncsc_nlNL
microsoft exchange server= 2016nvdUScpe:2.3:a:microsoft:exchange_server:*:*:*:*:*:*:*:*
microsoft exchange server= 2019nvdUScpe:2.3:a:microsoft:exchange_server:*:*:*:*:*:*:*:*
microsoft exchange server subscription edition< 15.02.2562.053nvdUScpe:2.3:a:microsoft:exchange_server_subscription_edition:*:*:*:*:*:*:*:*

Advisories (4)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2026-0401Kwetsbaarheid verholpen in Microsoft Exchange ServerNL2026-10-06csaf · ncsc_nlNL
Microsoft heeft out-of-band, vooruitlopend op de maandelijkse update voor oktober, een kwetsbaarheid verholpen in Microsoft Exchange Server.
NCSC-2026-0419Kwetsbaarheden verholpen in Microsoft Excange ServerNL2026-10-13csaf · ncsc_nlNL
Microsoft heeft kwetsbaarheden verholpen in Exchange.
WID-SEC-W-2026-3718Microsoft Exchange Server: Schwachstelle ermöglicht PrivilegieneskalationDeutsch2026-10-04csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Microsoft Exchange Server ausnutzen, um seine Privilegien zu erhöhen, wodurch er Zugriff auf die Postfächer anderer Benutzer innerhalb derselben Organisation erhält und E-Mail-Nachrichten sowie Anhänge lesen kann.
msrc_CVE-2026-96940Microsoft Exchange Server Elevation of Privilege Vulnerability2026-10-02csaf · msrc_csafUS
To determine the support lifecycle for your software, see the Microsoft Support Lifecycle: https://support.microsoft.com/lifecycle

quellen

Welche Quellen diesen Datensatz belegen und wann.

cert_bund msrc_csaf ncsc_nl nvd NVD CVE.org MITRE

veröffentlicht 2026-10-02geändert 2026-10-15

Referenzen (1) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96940PatchVendor Advisory

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan