Microsoft łata Exchange i myli adminów

Niespodziewane aktualizacje dla Exchange Server

2 października 2026 roku Microsoft opublikował zestaw aktualizacji bezpieczeństwa dla Microsoft Exchange Server 2016, 2019 oraz Exchange Server Subscription Edition. W centrum uwagi znalazła się podatność CVE-2026-96940, oznaczona jako błąd elevation of privilege.

Na pierwszy rzut oka sprawa była zagadkowa, bo część administratorów zauważyła w WSUS aktualizację KB5129955, zanim pojawiła się jakakolwiek oficjalna dokumentacja opisująca jej cel. To właśnie ten brak opisu wywołał najwięcej pytań wśród osób zarządzających środowiskami Exchange.

Co wiadomo o luce CVE-2026-96940

Z ujawnionych informacji wynika, że chodzi o błąd w mechanizmie autoryzacji Exchange Server. W praktyce uwierzytelniony atakujący mógłby rozszerzyć swoje uprawnienia przez sieć i uzyskać dostęp do cudzych skrzynek pocztowych w ramach tej samej organizacji.

Microsoft zaznaczył jednak ważne ograniczenie: luka nie pozwala na dostęp przez granice tenantów. To oznacza, że ryzyko dotyczy przede wszystkim środowisk wewnątrz jednej organizacji, a nie ataku między różnymi klientami usług.

Podatność otrzymała CVSS 3.1 na poziomie 8.8 i została sklasyfikowana jako Important. Choć pełne wykorzystanie wymaga uwierzytelnionego dostępu, Microsoft uznał, że prawdopodobieństwo ataku jest na tyle realne, by wydać poprawki bez zwłoki.

Jakie poprawki opublikowano

Dla instalacji on-premises udostępniono następujące aktualizacje:

• KB5129955 – Microsoft Exchange Server Subscription Edition RTM
• KB5129956 – Microsoft Exchange Server 2019 Cumulative Update 15
• KB5129957 – Microsoft Exchange Server 2019 Cumulative Update 14
• KB5129958 – Microsoft Exchange Server 2016 Cumulative Update 23

W opisie pakietów Microsoft wskazał, że aktualizacje zamykają nie tylko CVE-2026-96940, ale też kilka innych podatności:

• CVE-2026-55007
• CVE-2026-69355
• CVE-2026-69356
• CVE-2026-69361
• CVE-2026-69375
• CVE-2026-69378
• CVE-2026-69382
• CVE-2026-69641

Dla Exchange Online poprawki zostały już wdrożone po stronie usługi, więc użytkownicy chmurowi nie muszą nic robić.

Skąd zamieszanie wokół KB5129955

Najwięcej emocji wzbudziło właśnie KB5129955, które zaczęło pojawiać się w WSUS jeszcze zanim pojawiło się pełne wyjaśnienie. Administratorzy zgłaszali, że pakiet widoczny jest także w Windows Update i w systemach zarządzania oprogramowaniem, ale nie towarzyszy mu czytelna dokumentacja.

Analiza zawartości pakietu sugerowała, że Microsoft przygotował go wcześniej do dystrybucji. W plikach pojawiły się m.in. elementy związane z BigFunnel, czyli mechanizmem wyszukiwania używanym w Exchange, a także skrypty PowerShell i komponenty powiązane z aktualizacją sygnatur antyspamowych. To wystarczyło, by wzbudzić spekulacje, ale sam pakiet nie tłumaczył od razu, co dokładnie zostało naprawione.

Dodatkowy niepokój budził fakt, że część administratorów uznała aktualizację za nietypową, ponieważ zachowywała się inaczej niż standardowy CU i nie zawsze powodowała zmianę wersji widoczną od razu po instalacji.

Co to oznacza dla administratorów

Najważniejszy wniosek jest prosty: środowiska Exchange Server powinny zostać zaktualizowane zgodnie z właściwym pakietem dla danej wersji.

W przypadku instalacji hybrydowych trzeba zachować szczególną ostrożność, bo wątki techniczne wokół KB5129955 sugerowały możliwe konsekwencje dla integracji z Exchange Online, jeśli poprawka zostanie wdrożona w nieodpowiednim momencie lub w nieodpowiedniej konfiguracji.

Po instalacji aktualizacji warto:

• sprawdzić stan serwera narzędziem Health Checker,
• zweryfikować działanie usług pocztowych i webowych,
• upewnić się, że środowisko hybrydowe działa prawidłowo,
• przeanalizować ewentualne Known Issues opisane przy konkretnym pakiecie.

Podsumowanie

Cała sytuacja pokazała, jak szybko nawet rutynowa aktualizacja może zamienić się w problem organizacyjny, jeśli pojawi się wcześniej w narzędziach administracyjnych, a jej dokumentacja zostanie opublikowana z opóźnieniem. Ostatecznie jednak sprawa ma jasny finał: Microsoft potwierdził istnienie poprawek, a administratorzy Exchange dostali konkretne pakiety do wdrożenia.