Microsoft merilis patch darurat (out-of-band) untuk Exchange Server. Yang ditambal adalah kerentanan CVE-2026-96940, celah yang memungkinkan satu akun terautentikasi membaca email dan lampiran milik pengguna lain di organisasi yang sama.
Patch ini untuk server Exchange on-premises. Kalau perusahaanmu pakai Exchange Online, tidak ada yang perlu dikerjakan — Microsoft sudah menambal dari sisi layanan pekan lalu.
Apa sebenarnya masalahnya
Dalam advis yang terbit 2 Oktober 2026, Microsoft menyebut akar masalahnya otorisasi yang lemah. Penyerang yang sudah punya kredensial valid bisa memakai jaringan untuk menaikkan hak aksesnya.
Ujungnya: akses tanpa izin ke mailbox orang lain. Isi email, lampiran, semuanya.
Dua catatan penting. Pertama, celah ini tidak menembus batas tenant, jadi gangguannya terbatas di dalam satu organisasi. Kedua, eksploitasi tidak butuh korban mengklik apa pun. Skornya 8,8 di CVSS — kategori high severity.
Membaca mailbox orang bukan kerusakan kecil. Di dalamnya sering ada tautan reset password, dokumen internal, data pelanggan, dan percakapan yang tidak pernah dimaksudkan untuk dibaca orang lain.
Satu akun jebolan phising cukup jadi pintu masuk. Penyerang tidak perlu memaksa masuk dari luar selama punya kredensial yang sah.
Rilis yang sempat bikin admin bingung
Patch ini sebenarnya adalah Security Update September 2026 versi V2. Microsoft lebih dulu mengirim perbaikan sisi layanan ke Exchange Online, tanpa KB article yang menjelaskan isinya. Pelanggan pun bertanya-tanya.
Tim Exchange Server lalu mengakui urutan rilis kali ini “agak aneh” karena keluar lebih awal dari jadwal yang direncanakan. Alasan di baliknya tidak dijelaskan.
Perlu digarisbawahi: V2 ini menambah perbaikan, bukan menggantikan panduan servis September 2026 yang sudah ada. Jadi kalau servermu sudah dipasangi update September versi pertama, jangan anggap urusan selesai. Paket V2 tetap harus diperiksa.
Kabar baiknya, update keamanan Exchange bersifat kumulatif. Artinya kamu tidak perlu mengejar setiap SU lama satu per satu.
Siapa yang wajib bergerak cepat
Microsoft bilang kerentanan ini ditemukan dari audit internal, dan sejauh ini belum ada laporan eksploitasi aktif. Meski begitu, label Exploitability yang dipasang adalah “Exploitation More Likely”. Jenis celah seperti ini pernah dieksploitasi di masa lalu.
Update tersedia untuk:
- Exchange Server Subscription Edition (SE) RTM
- Exchange Server 2019 Cumulative Update 14 dan 15
- Exchange Server 2016 Cumulative Update 23
Ada catatan pahit. Exchange Server 2016 dan 2019 sudah habis masa dukungannya. Patch terbaru hanya bisa diakses organisasi yang terdaftar di program Period 2 Extended Security Update (ESU). Cakupannya Mei sampai Oktober 2026, dan itu pun dibeli terpisah.
Setelah Oktober 2026 tidak ada perpanjangan lagi. Organisasi yang belum ikut ESU diminta pindah ke Exchange Server Subscription Edition kalau mau tetap dapat perbaikan keamanan.
Pilihan di meja admin sekarang cuma dua: beli cakupan ESU Period 2 sampai Oktober, atau mulai menyusun rencana migrasi. Menunda tanpa keduanya berarti server email berjalan tanpa perbaikan keamanan baru.
Langkah yang diminta Microsoft
Untuk hybrid deployment, server on-premises tetap harus ditambal. Termasuk server yang dipakai cuma buat mengelola penerima email dan komputer yang menjalankan Exchange Management Tools.
- Inventarisasi dulu dengan skrip Exchange Server Health Checker: cari cumulative update yang tak didukung, update keamanan yang bolong, dan langkah manual yang belum dikerjakan.
- Rencanakan jalur upgrade pakai Exchange Update Wizard sebelum memasang paket.
- Pastikan klien dan server Exchange Management Tools dapat versi yang cocok, supaya keduanya tetap saling terhubung.
- Setelah update, reboot server dan pastikan semua layanan Exchange hidup. Layanan yang mati biasanya tanda proses pemasangan terputus.
- Kalau muncul error, jalankan SetupAssist dan ikuti panduan pemulihan update Exchange.
Satu lagi buat yang hybrid: kalau sertifikat autentikasi berubah setelah update, jalankan ulang Hybrid Configuration Wizard.
Celah ini juga tidak ada hubungannya dengan CVE-2026-62911, kerentanan Exchange lain yang sempat dibahas publik. Research soal yang lama bukan bukti bahwa exploit untuk CVE-2026-96940 sudah beredar.
Buat banyak kantor, kampus, dan instansi yang masih menyimpan email di server sendiri, patchnya tidak bisa ditunda sampai jadwal maintenance bulan depan. Cukup satu akun karyawan yang kena phising, dan mailbox sebelahnya bisa ikut kebaca.
Sources
- Help Net Security — Out-of-band Exchange Server update fixes high-severity mailbox access bug (CVE-2026-96940)
- The Hacker News — Microsoft Exchange Flaw Lets Authenticated Attackers Read Other Users’ Mailboxes
- Cyber Press — Microsoft Releases Exchange Server V2 Security Update Adding CVE-2026-96940 Fix
- Cybersecurity News — Microsoft Pushes New Exchange V2 Update After Discovering New Security Flaw
