事件概述
微软以带外方式重新发布 2026 年 9 月 Exchange Server 安全更新的 V2 版本，用于修复授权缺陷 CVE-2026-96940。该漏洞 CVSS 评分 8.8，属权限提升类问题，可让已通过身份验证的攻击者在同一租户内读取其他用户的邮箱正文与附件。微软于 10 月 2 日发布公告，并说明 V2 与 9 月原版的唯一差别就是加入了这个补丁。
需要特别提醒：已经安装 9 月更新（原版修复了 9 个 Exchange 漏洞）的服务器并不包含本次修复，必须再单独部署 V2 包。
技术细节
身份验证决定你是谁，授权决定你能打开什么。CVE-2026-96940 出问题的是第二道检查：Exchange Server 授权判定过于宽松，一个普通邮箱账号即可越权访问同租户内其他邮箱的邮件与附件。
从 CVSS 向量看，该漏洞网络可达、复杂度低，仅需低权限且无需用户交互，对机密性、完整性与可用性均为高影响。也就是说，攻击者只要掌握组织内任意一个员工的有效凭证（撞库、钓鱼或信息窃取木马均可得手），即可满足利用门槛。
CVE-2026-96940 弱授权（Elevation of Privilege）
CVSS 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
影响范围 同租户内其他用户邮箱与附件（不跨租户）
利用前提 已持有组织内任一有效账号凭证
利用评级 Exploitation More Likely（更可能被利用）微软表示该漏洞由内部发现，研究员 Jan Mitchell 署名披露。目前没有公开 PoC，也未列入 CISA 已知被利用漏洞（KEV）目录；它与此前具备公网 PoC 的 Exchange 认证中继漏洞 CVE-2026-62911 无关。
影响评估
邮箱通常是企业内价值密度最高的数据仓库。该漏洞不要求攻破服务器，一个普通账号即可静默翻读高管往来、人事档案、法务函件与合同附件，且正常读取往往不触发告警。
暴露面较大的是混合部署环境，以及仍运行 Exchange 2016/2019 或 Exchange Server SE RTM 且未打 10 月 2 日补丁的组织；2016 与 2019 已超出主流支持，其补丁仅向已购置第二阶段扩展安全更新（Period 2 ESU）计划的客户提供。
修复建议
- 按版本安装对应 V2 更新：Exchange Server SE RTM 用 KB5129955（内部版本 15.02.2562.053）；2019 CU15 用 KB5129956（15.02.1748.053）；2019 CU14 用 KB5129957（15.02.1544.048）；2016 CU23 用 KB5129958（15.01.2507.075）。低于对应内部版本即视为未修复。
- Exchange Online 已在服务端修复，纯云客户无需操作；混合环境必须逐台修补所有本地 Exchange 服务器，包括仅用于收件人管理的实例，并同步更新安装过 Exchange 管理工具的服务器与工作站。
- 限制集成账号（归档、DLP、备份）的访问范围，回收多余的 RBAC 角色与 FullAccess、SendAs 委派。
- 对全部可访问 Exchange 的身份强制多因素认证，并停用 EWS、ActiveSync、MAPI 等协议的 Basic 认证，压缩可利用凭证池。
- 回溯检查 Exchange 管理审计与邮箱审计日志，重点排查非变更窗口内授予的委派与异常批量读取。