La vulnerabilidad CVE-2026-96940 tiene una puntuación de 8,8 y permite a atacantes autenticados acceder a correos y archivos adjuntos de otros usuarios de la misma organización.
Una nueva vulnerabilidad de Microsoft Exchange Server ha obligado a Microsoft a publicar actualizaciones de seguridad fuera de su calendario habitual. El fallo, identificado como CVE-2026-96940, puede permitir que un atacante que ya disponga de una cuenta autenticada eleve sus privilegios y acceda a los buzones de otros usuarios de la misma organización.
El problema ha sido catalogado con una puntuación de 8,8 sobre 10 en CVSS, lo que sitúa la vulnerabilidad en un nivel de gravedad elevado. Microsoft publicó su aviso de seguridad el 2 de octubre de 2026 y ha reconocido a la investigadora Jan Mitchell como responsable de su descubrimiento y comunicación.
El escenario resulta especialmente delicado para las organizaciones que mantienen servidores Exchange instalados localmente, ya que son estas instalaciones las que requieren la aplicación de las nuevas actualizaciones.
CVE-2026-96940: qué permite hacer la vulnerabilidad de Exchange
Microsoft describe el problema como una debilidad de autorización en Exchange Server que permite a un atacante autenticado elevar sus privilegios a través de la red.
La diferencia entre autenticación y autorización resulta fundamental en este caso. Un atacante necesita disponer previamente de una cuenta válida para acceder al entorno, pero el fallo puede permitirle superar las restricciones que deberían determinar qué recursos tiene permitido consultar esa cuenta.
Una vez explotada la vulnerabilidad, el atacante puede obtener acceso no autorizado a buzones pertenecientes a otros usuarios de la misma organización.
Esto puede incluir:
- Mensajes de correo electrónico.
- Archivos adjuntos.
- Información almacenada en los buzones de otros empleados.
- Datos potencialmente sensibles contenidos en las comunicaciones corporativas.
Microsoft ha aclarado que el fallo no permite acceder a buzones de otros tenants u organizaciones independientes.
El riesgo, por tanto, se concentra especialmente en entornos empresariales en los que un atacante ya haya conseguido comprometer al menos una cuenta.
Una vulnerabilidad con puntuación CVSS de 8,8
La gravedad de CVE-2026-96940 queda reflejada en su puntuación CVSS 8,8.
Microsoft no ha informado de evidencias de que la vulnerabilidad esté siendo explotada activamente en ataques reales. Sin embargo, la compañía la ha clasificado con una evaluación de explotabilidad de «Exploitation More Likely», es decir, considera que existen condiciones que hacen probable que pueda ser explotada.
Esta diferencia es importante.
No existe evidencia pública de explotación activa, pero tampoco se trata de un fallo que las organizaciones deban ignorar. En un servidor de correo corporativo, la posibilidad de acceder a comunicaciones y documentos de otros empleados puede convertir una cuenta comprometida en una vía para obtener información de alto valor.
Microsoft ya ha corregido Exchange Online
Los usuarios de Exchange Online se encuentran en una situación diferente.
Microsoft asegura que ya ha desplegado una corrección en el lado del servicio para solucionar el problema en su plataforma en la nube. Por este motivo, los clientes de Exchange Online no necesitan realizar ninguna acción específica para corregir CVE-2026-96940.
La situación cambia para las organizaciones que mantienen Exchange Server en sus propias instalaciones.
En estos casos, Microsoft recomienda instalar las actualizaciones de seguridad correspondientes lo antes posible.
Estas versiones de Microsoft Exchange están afectadas
La vulnerabilidad afecta a determinadas versiones de Microsoft Exchange Server local:
- Microsoft Exchange Server Subscription Edition RTM.
- Microsoft Exchange Server 2019 Cumulative Update 15.
- Microsoft Exchange Server 2019 Cumulative Update 14.
- Microsoft Exchange Server 2016 Cumulative Update 23.
Las correcciones forman parte de la versión V2 de las actualizaciones de seguridad de septiembre de 2026. La información disponible sobre la actualización indica que esta revisión incorpora específicamente la solución para CVE-2026-96940.
Los administradores no deberían asumir que haber instalado las actualizaciones originales de septiembre significa que el servidor ya está protegido frente a este fallo concreto.
¿Por qué es especialmente peligroso que el atacante ya esté autenticado?
El requisito de autenticación puede parecer una barrera importante, pero en los ataques contra organizaciones constituye con frecuencia uno de los problemas centrales.
Las credenciales corporativas pueden terminar en manos de atacantes mediante phishing, robo de contraseñas, malware, filtraciones de datos o reutilización de credenciales.
Una vez obtenida una cuenta legítima, una vulnerabilidad de autorización puede permitir al atacante acceder a información que esa cuenta no debería poder consultar.
En el caso de CVE-2026-96940, el objetivo potencial son precisamente los buzones de otros usuarios dentro de la misma organización.
Esto puede convertir el servidor de correo en una fuente de información especialmente valiosa: conversaciones internas, documentos adjuntos, información financiera, datos de clientes o comunicaciones entre departamentos pueden quedar expuestos si el atacante consigue explotar el fallo.
Microsoft recomienda actuar con rapidez
La ausencia de evidencias de explotación activa no significa que las empresas puedan aplazar indefinidamente la instalación del parche.
Microsoft considera que la vulnerabilidad presenta una posibilidad de explotación relevante y recomienda a los administradores mantener los servidores afectados actualizados.
Además, la actualización debe contemplarse dentro de una estrategia más amplia de seguridad de Exchange. Mantener servidores de correo locales sin las últimas correcciones incrementa el riesgo de que una vulnerabilidad conocida pueda terminar utilizándose como punto de entrada o como mecanismo para ampliar el acceso de un atacante.
Para los responsables de sistemas, las prioridades son claras:
- Identificar qué servidores Exchange están afectados.
- Comprobar qué actualización acumulativa está instalada.
- Aplicar la actualización de seguridad correspondiente.
- Revisar posteriormente el estado de los servicios.
- Vigilar posibles accesos anómalos a buzones.
- Revisar las cuentas que hayan podido verse comprometidas.
El contexto: más ataques contra las plataformas de Microsoft
La aparición de esta vulnerabilidad llega en un momento de especial presión sobre las infraestructuras empresariales de Microsoft.
En los últimos meses se han registrado distintos incidentes y vulnerabilidades dirigidos contra productos utilizados ampliamente por organizaciones, desde Exchange y Outlook hasta SharePoint.
De hecho, días antes de la publicación de la información sobre CVE-2026-96940, Symantec, propiedad de Broadcom, había advertido de actividad atribuida al grupo Warlock, vinculado por los investigadores a China, contra vulnerabilidades de Microsoft SharePoint.
Según esa investigación, los atacantes utilizaban los fallos para desplegar el ransomware Warlock contra organizaciones de países de habla portuguesa y española.
El caso de Exchange es diferente: Microsoft no ha informado de explotación activa de CVE-2026-96940. La comparación sirve únicamente para contextualizar el creciente interés de los atacantes por las plataformas empresariales de Microsoft.
¿Qué deben hacer las empresas con Exchange Server?
Las organizaciones que utilizan Exchange Server local deberían comprobar inmediatamente si sus sistemas corresponden a alguna de las versiones afectadas y verificar que disponen de la actualización de seguridad adecuada.
La urgencia es mayor en aquellos entornos donde una cuenta corporativa comprometida podría proporcionar acceso a información especialmente sensible.
Microsoft ha publicado la corrección antes de que exista constancia de explotación activa, lo que proporciona a los administradores una ventana para actualizar los sistemas antes de que el fallo pueda convertirse en una herramienta habitual para los atacantes.
Para los clientes de Exchange Online, la situación es distinta porque la corrección ya ha sido aplicada por Microsoft en el servicio y no es necesario instalar manualmente un parche.
Un fallo que convierte una cuenta comprometida en una amenaza mayor
CVE-2026-96940 no permite a cualquiera entrar directamente en un servidor Exchange sin autenticarse, pero el problema puede adquirir una dimensión mucho mayor una vez que un atacante dispone de una cuenta válida.
La vulnerabilidad afecta precisamente al siguiente nivel de seguridad: qué puede hacer un usuario después de autenticarse.
Por eso, la recomendación para las organizaciones con Exchange Server local es sencilla: comprobar la versión instalada y aplicar cuanto antes las actualizaciones V2 que corrigen el fallo.
Microsoft no ha comunicado explotación activa de la vulnerabilidad, pero su puntuación de 8,8, su capacidad para exponer buzones ajenos dentro de una misma organización y la valoración de explotabilidad de «Exploitation More Likely» justifican una respuesta rápida.
Toqueteo
Toqueteo
Toqueteo