Falha no Exchange deixa um funcionário ler a caixa de e-mail dos colegas — e a correção para 2016 e 2019 só chega a quem pagou suporte estendido

Imagine que qualquer pessoa com login no e-mail da empresa — o estagiário, o terceirizado, ou o criminoso que roubou a senha de um deles num phishing — pudesse abrir a caixa de entrada do diretor financeiro, do RH ou do jurídico e ler as mensagens e os anexos. É isso que descreve o aviso que a Microsoft publicou em 2 de outubro para o Exchange Server, o servidor de e-mail que muitas empresas ainda mantêm dentro de casa.

A falha

A vulnerabilidade foi catalogada como CVE-2026-96940 e recebeu nota 8,8 de gravidade. A Microsoft a classifica como “autenticação fraca”, e a explicação no próprio aviso é direta: um invasor autenticado que explore a falha pode obter acesso não autorizado às caixas de correio de outros usuários da mesma organização e ler mensagens e anexos. O acesso não atravessa a fronteira entre organizações diferentes — o risco é interno, de dentro para dentro.

Dois detalhes importam para medir a urgência:

• Não há registro de exploração nem de divulgação pública prévia, segundo a Microsoft. A falha foi encontrada pela própria empresa.
• Mesmo assim, a Microsoft a marcou como “exploração mais provável” — a categoria usada quando o caminho para um ataque é considerado viável.

O pacote foi publicado como uma segunda versão das atualizações de setembro do Exchange. Segundo a equipe do produto, a única diferença em relação ao pacote original de setembro é justamente a inclusão dessa falha.

Quem precisa agir

• Exchange Online (Microsoft 365): já corrigido do lado da Microsoft. Nenhuma ação necessária.
• Exchange Server Subscription Edition (SE): instalar a atualização.
• Exchange 2019 (CU14 e CU15) e Exchange 2016 (CU23): aqui está o ponto delicado. Essas versões estão fora de suporte. As atualizações de segurança liberadas entre maio e outubro de 2026 só chegam a quem aderiu ao programa pago de suporte estendido (ESU) do segundo período. Quem não aderiu fica, oficialmente, sem a correção — e a recomendação da Microsoft é migrar para a edição SE.

Para quem vai atualizar, a Microsoft lembra que o pacote deve ser instalado em todos os servidores Exchange e também nas máquinas que só rodam as ferramentas de administração do Exchange. Ambientes híbridos — parte na nuvem, parte em casa — também precisam instalar nos servidores locais, mesmo que eles sirvam apenas para gerenciamento. O script Exchange Server Health Checker, distribuído pela própria Microsoft, aponta quais servidores estão atrasados.

Por que essa falha é diferente

Falhas de e-mail costumam ser lembradas pelo invasor de fora que entra sem senha — como a do Exchange em setembro, que deixou 22 mil servidores expostos, ou a dos servidores Zimbra cujas chaves-mestras foram levadas. Esta tem outro perfil: exige um login válido. E é aí que mora o problema, porque login válido é a coisa mais fácil de conseguir numa empresa média.

Basta um funcionário cair num e-mail falso para que o criminoso tenha a credencial de um usuário comum. Sem uma falha como essa, o estrago fica restrito à caixa daquela pessoa. Com ela, a senha mais fraca da empresa passa a abrir a caixa mais sensível. Contratos, folha de pagamento, negociações, dados de clientes enviados como anexo — tudo o que circula por e-mail.

O mesmo vale para quem já está dentro: um colaborador curioso ou mal-intencionado deixaria de precisar de qualquer habilidade técnica especial para ler o que não deveria. Para o RH e o jurídico, é o tipo de cenário que transforma uma falha de software em incidente de dados pessoais, com tudo o que a LGPD exige depois.

O lembrete que o caso deixa

O Exchange 2016 e o 2019 completaram o ciclo de suporte, e este aviso mostra, na prática, o que isso significa: a falha existe, a correção existe, e mesmo assim ela pode não chegar ao servidor de quem ficou na versão antiga sem contrato estendido. Servidor de e-mail fora de suporte não é economia: é uma conta que fica para depois — e que costuma chegar na pior hora.

Fontes

• Microsoft Security Response Center — CVE-2026-96940, “Microsoft Exchange Server Elevation of Privilege Vulnerability” (02/10/2026): msrc.microsoft.com
• Microsoft Exchange Team — “Released: September 2026 V2 Exchange Server Security Updates”: techcommunity.microsoft.com

• NIST — National Vulnerability Database, CVE-2026-96940: nvd.nist.gov

• Foto de capa: prédio da Microsoft em Atlantic Station, Atlanta (EUA) — Tyler Lahti, CC BY-SA 4.0, via Wikimedia Commons

• Segunda imagem: letreiro da Microsoft no edifício The Bravern, em Bellevue (EUA) — Debs, CC BY 2.0, via Wikimedia Commons