כדי לנצל את החולשה הזאת תוקף לא צריך לפרוץ לשרת הדואר. הוא צריך חשבון אחד שעובד, של עובד זוטר, של ספק חיצוני או של מישהו שהסיסמה שלו דלפה בפישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים). משם, לפי מה שמיקרוסופט מסרה, הוא יכול לבקש מהשרת את התיבה של מישהו אחר באותו ארגון, והשרת מוסר אותה.

מה קרה

ב-2 באוקטובר פרסמה מיקרוסופט עדכון אבטחה ל-Exchange Server, שרת הדואר שארגונים מתקינים ומתחזקים אצלם, ובו תיקון לחולשה שמסומנת CVE-2026-96940 ומדורגת 8.8 מתוך 10. לפי The Hacker News, החולשה דווחה לחברה בידי חוקר מטעמה בשם Jan Mitchell. מיקרוסופט אומרת שאין עדות לניצול בפועל, אבל מדרגת את סיכוי הניצול כ"סביר יותר", כלומר כזה שכדאי להיערך אליו.

הכשל אינו בשלב הזיהוי אלא בשלב שאחריו. השרת בדק שהמשתמש הוא אכן מי שהוא טוען שהוא, ואז לא בדק כמו שצריך אם הוא רשאי לגשת דווקא לתיבה שביקש. לפער הזה, בין השאלה "מי אתה" לשאלה "למה אתה מורשה", קוראים כשל הרשאות, authorization, והוא נפרד לגמרי מהסיסמה ומהאימות הדו-שלבי. אימות חזק כמה שתרצו לא מונע אותו, כי התוקף עבר את האימות כחוק, בחשבון שלו.

NVD, מאגר החולשות הממשלתי האמריקאי, מתאר את החולשה כהסלמת הרשאות דרך הרשת. הביטוי המעשי שלה, לפי מה שמיקרוסופט מסרה, הוא קריאת הודעות וקבצים מצורפים בתיבות של אנשים אחרים באותו ארגון. מעבר בין ארגונים שונים לא התאפשר.

למה זה חשוב לכם

אם אתם עובדים בארגון שמפעיל שרת Exchange משלו ולא את גרסת הענן, הדואר שלכם בעבודה היה פתוח, עד להתקנת העדכון, לכל מי שהיה לו שם חשבון פעיל. זה כולל ספקים ומתמחים, וזה כולל חשבונות נטושים של עובדים שעזבו ואף אחד לא סגר. זה כולל גם כל תוקף שהשיג סיסמה אחת בפישינג, כי מרגע שיש לו חשבון כלשהו הוא בפנים.

מי שהארגון שלו עבר ל-Microsoft 365 לא צריך לעשות כלום, כי מיקרוסופט תיקנה את התקלה בשירות שלה. ודווקא הארגונים שבוחרים להחזיק את שרת הדואר אצלם עושים זאת בדרך כלל מטעמי רגולציה או רגישות המידע, כך שהתיבות שהחולשה חשפה הן לא פעם המעניינות יותר.

מה עושים?

את העדכון מתקין מי שמנהל את השרת, לא אתם. אם אתם יודעים מי אחראי על הדואר בארגון, שווה לשאול אם עדכון אוקטובר הותקן. לגרסת Subscription Edition העדכון הוא KB5129955, והוא פורסם ב-2 באוקטובר יחד עם תיקונים לתשע חולשות נוספות.

אחרי ההתקנה מיקרוסופט ממליצה להריץ את הכלי Exchange Server Health Checker, שמוודא שההתקנה הצליחה ובודק אם נדרשות פעולות נוספות. זה פרט ששווה להעביר למי שמתקין.

עד שזה קורה, התייחסו לדואר העבודה כאל ערוץ שאינו פרטי. סיסמאות, צילומי תעודת זהות וקבצים רגישים לא צריכים לשבת בתיבה הארגונית בלי סיבה. מחקו את מה שאין לו צורך להישאר שם.

אם נשאר לכם חשבון דואר בארגון שאתם כבר לא עובדים בו, בקשו לסגור אותו. חשבון נטוש עם סיסמה ישנה הוא בדיוק נקודת הפתיחה שהחולשה הזאת דורשת.

החולשה הזאת לא דורשת מהתוקף תחכום, אלא דריסת רגל אחת. וזה מה שהופך כל חשבון קטן ונשכח בארגון לשווה את הטרחה של סגירה.