Il 2 ottobre 2026 Microsoft ha rilasciato un aggiornamento fuori banda per Exchange Server on-premises che corregge la CVE-2026-96940, una vulnerabilità di elevazione dei privilegi valutata CVSS 8.8. La correzione non è contenuta nelle patch di settembre originali: è arrivata con la seconda versione (V2) del pacchetto di aggiornamenti di sicurezza di settembre 2026. Chi ha già installato il pacchetto di settembre, quindi, non è protetto finché non applica anche la V2.

Cosa è successo

Secondo la descrizione di Microsoft, un'autorizzazione insufficiente in Exchange Server permette a un attaccante già autenticato di elevare i propri privilegi. Nella pratica, riportano Security Affairs e IT-Connect, un utente qualsiasi dell'organizzazione, raggiungibile via rete, potrebbe arrivare alle caselle di posta di altri colleghi, leggendo messaggi e aprendo gli allegati. Microsoft precisa che la falla non consente di superare i confini tra tenant diversi: il rischio riguarda l'interno dell'organizzazione.

Il valore del punteggio e il vettore di attacco (rete, privilegi bassi) spiegano perché Microsoft abbia scelto il rilascio fuori banda. Nella valutazione di sfruttabilità l'azienda indica "Exploitation more likely", cioè sfruttamento più probabile. Al momento della pubblicazione delle fonti consultate non risultano attacchi attivi osservati e la vulnerabilità non risulta nel catalogo KEV della CISA: è un punto da ribadire, perché non va né enfatizzato né sottovalutato. La storia di Exchange insegna che il tempo tra la pubblicazione di una patch e i primi exploit funzionanti si misura spesso in giorni.

Le versioni interessate sono Exchange Server Subscription Edition (SE), Exchange 2019 CU15 e CU14, ed Exchange 2016 CU23. Exchange Online è già stato corretto lato servizio e i clienti Microsoft 365 non devono fare nulla. Nelle installazioni ibride, invece, vanno aggiornati tutti i server Exchange on-premises, compresi quelli che si usano soltanto per l'amministrazione e le macchine con gli Exchange Management Tools.

Un dettaglio che molte organizzazioni sottovaluteranno: il supporto standard di Exchange 2016 e 2019 è terminato il 14 ottobre 2025. La correzione per queste versioni è disponibile solo per chi ha sottoscritto il programma Extended Security Update (ESU) Period 2, che scade a fine ottobre 2026. Chi non è nel programma non riceve la patch e, secondo IT-Connect, non fa più in tempo ad aderire. Microsoft segnala inoltre alcuni problemi noti dopo l'aggiornamento, tra cui errori HTTP 500 nei link ai calendari pubblicati.

Cosa significa per le aziende italiane

Exchange on-premises è ancora molto diffuso in Italia, soprattutto tra PMI, studi professionali, enti locali, strutture sanitarie e aziende manifatturiere che non hanno completato la migrazione al cloud. Spesso sono installazioni mantenute da un fornitore esterno, con cicli di patching lenti e senza un inventario aggiornato delle versioni. È esattamente il profilo di rischio di questa falla.

Il punto chiave è il presupposto "attaccante autenticato". Sembra una barriera, ma nella realtà italiana è bassa: phishing, riuso delle password e password spraying producono account validi con regolarità. Una singola casella compromessa, magari di un dipendente di basso livello, diventerebbe il punto di partenza per leggere la posta della direzione, dell'amministrazione o dell'ufficio legale. Dalla posta si ricavano contratti, IBAN, credenziali inviate per errore e il contesto per costruire frodi del tipo "business email compromise", che colpiscono duramente le imprese italiane.

C'è poi il nodo del fine supporto. Chi è rimasto su Exchange 2016 o 2019 senza ESU si trova con un server di posta esposto e senza correzioni: la scelta non è più "quando migrare" ma "come ridurre il rischio nel frattempo". In molti casi la strada realistica è la migrazione a Exchange SE o a Exchange Online, da pianificare con urgenza ma con un progetto serio, non con una corsa all'ultimo minuto.

Contesto normativo

Una casella di posta contiene quasi sempre dati personali, talvolta categorie particolari (certificati medici, dati sindacali, procedimenti disciplinari). Un accesso non autorizzato a più caselle è una potenziale violazione dei dati personali ai sensi del GDPR: il titolare deve valutarla e, se presenta un rischio per gli interessati, notificarla al Garante entro 72 ore dalla scoperta (art. 33). Mantenere un server di posta privo di patch note contribuisce inoltre a far giudicare inadeguate le misure di sicurezza richieste dall'art. 32, un elemento che il Garante considera nelle sanzioni.

Per i soggetti rientranti in NIS2, con scadenze di adeguamento in arrivo il 31 ottobre, la gestione tempestiva delle vulnerabilità e la sicurezza della posta elettronica fanno parte delle misure di gestione del rischio. Dimostrare un processo di patching documentato, con tempi definiti per le vulnerabilità ad alta gravità, è esattamente il tipo di evidenza che un'autorità o un auditor chiederà. Nel settore finanziario, il regolamento DORA richiede analoga disciplina per i sistemi ICT a supporto di funzioni importanti.

Cosa fare subito

  • Verificare la versione di ogni server Exchange (anche quelli "dimenticati" per l'amministrazione o l'ibrido) con il comando Get-ExchangeServer | fl Name,AdminDisplayVersion e confrontarla con le build indicate da Microsoft.
  • Installare la V2 degli aggiornamenti di settembre 2026, anche se il pacchetto originale è già stato applicato; seguire la procedura con prompt dei comandi con privilegi elevati, come indicato da Microsoft.
  • Eseguire l'Exchange Health Checker dopo l'installazione per confermare lo stato di patch e configurazione.
  • Controllare l'iscrizione all'ESU Period 2 per Exchange 2016/2019 e, se assente, avviare subito il piano di migrazione verso SE o Exchange Online, adottando nel frattempo misure compensative.
  • Ridurre la superficie di attacco: limitare l'accesso a OWA, ECP ed EWS dall'esterno, imporre l'autenticazione a più fattori ove possibile e bloccare l'autenticazione legacy.
  • Monitorare gli accessi anomali alle caselle (audit delle caselle, accessi a più mailbox da un solo account) e reimpostare le password degli account sospetti.
  • Documentare data della patch e verifiche eseguite: servirà per GDPR e NIS2.

Valutazione

Non c'è, per ora, evidenza di sfruttamento attivo, ed è una buona notizia che il lavoro di correzione sia stato anticipato. Ma una falla che richiede solo un account qualsiasi, su un prodotto con una lunga storia di attacchi mirati, non merita di restare in coda. Per chi ha Exchange in casa, la priorità di questa settimana è semplice: verificare di avere la V2, e capire se la versione in uso è ancora supportata.