En bref
- Le fait. Le 2 octobre 2026, Microsoft a publié un correctif pour CVE-2026-96940, une élévation de privilèges dans Exchange Server. Le 13 octobre, une nouvelle mise à jour de sécurité a corrigé six failles, dont CVE-2026-70571, critique : un attaquant non authentifié peut tenter d'exécuter du code sur le serveur en lui envoyant un courriel spécialement conçu. Microsoft ne signale aucune exploitation, mais juge l'exploitation « plus probable » pour deux de ces failles (et pour celle corrigée le 2 octobre). Le CERT-FR a publié les avis CERTFR-2026-AVI-1258 (5 octobre) et CERTFR-2026-AVI-1316 (14 octobre).
- Êtes-vous concerné ? Seulement si votre entreprise héberge son propre serveur de messagerie Exchange (dans vos locaux ou chez un hébergeur). Exchange Online (messagerie Microsoft 365) ne figure pas parmi les produits à mettre à jour ; pour la faille du 2 octobre, Microsoft indique avoir déjà corrigé le service.
- Quoi faire :
- demandez à votre prestataire d'installer la mise à jour de sécurité du 13 octobre 2026 sur chaque serveur Exchange, puis de confirmer le numéro de build obtenu ;
- si un serveur n'est pas sur une mise à jour cumulative maintenue (2016 CU23, 2019 CU14 ou CU15, Subscription Edition), faites d'abord planifier sa mise à niveau.
- Urgence : critique, selon Microsoft (CVE-2026-70571 notée « Critical »).
Détail technique
Versions à installer (Security Update Guide de Microsoft, avis CERT-FR) :
| Version d'Exchange | Correctif du 2 octobre | Correctif du 13 octobre (à installer) |
|---|---|---|
| Exchange Server 2016 CU23 | 15.01.2507.075 | 15.01.2507.077 (KB5128898) |
| Exchange Server 2019 CU14 | 15.02.1544.048 | 15.02.1544.050 (KB5128897) |
| Exchange Server 2019 CU15 | 15.02.1748.053 | 15.02.1748.055 (KB5128896) |
| Exchange Server Subscription Edition RTM | 15.02.2562.053 | 15.02.2562.056 (KB5128895) |
Failles corrigées le 13 octobre (classement Microsoft) :
- CVE-2026-70571 : exécution de code à distance, critique, CVSS 8.1, déclenchable par un courriel piégé sans action de l'utilisateur ; Microsoft précise que l'exploitation demande une connaissance poussée de l'environnement visé (complexité élevée) et juge l'exploitation « More Likely » ;
- CVE-2026-70279 : usurpation (spoofing), importante, CVSS 9.3, exploitation jugée « More Likely » ;
- CVE-2026-77910 (CVSS 8.8), CVE-2026-87692 et CVE-2026-87695 (CVSS 7.8), CVE-2026-87696 (CVSS 7.5) : élévations de privilèges, importantes.
Faille corrigée le 2 octobre. CVE-2026-96940 : élévation de privilèges, importante, CVSS 8.8, exploitation jugée « More Likely ». Un attaquant déjà authentifié dans l'organisation pourrait accéder aux boîtes aux lettres d'autres utilisateurs et lire leurs messages. Microsoft indique avoir déployé le correctif côté Exchange Online ; aucune action n'est demandée aux clients de ce service. Les builds du 13 octobre sont supérieurs à ceux visés par l'avis CERT-FR du 5 octobre.
KEV. Non : aucune de ces CVE ne figure au catalogue KEV de la CISA (version du 21 octobre 2026). Microsoft ne signale ni exploitation ni divulgation publique préalable.
Contournement. Microsoft ne propose pas de contournement : l'installation de la mise à jour de sécurité est la mesure à appliquer.
Vérifier sa version. Dans l'Exchange Management Shell : Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion, ou contrôle du numéro de build dans le Centre d'administration Exchange.