Si tu empresa tiene su propio servidor de correo con Microsoft Exchange, hay un parche que conviene instalar cuanto antes. Corrige una falla que permite a un empleado leer los correos de sus compañeros.
La buena noticia es que no se ha visto en ataques reales y que quienes usan la versión en la nube no tienen que hacer nada.
¿Qué pasó?
El 2 de octubre de 2026 Microsoft publicó actualizaciones de seguridad fuera de su calendario mensual para Exchange Server, su programa de correo empresarial que muchas organizaciones instalan en sus propios servidores.
La falla más importante se identifica como CVE-2026-96940. Es un problema de autorización débil, es decir, el servidor no revisa bien qué puede ver cada persona. Un atacante que ya tenga una cuenta válida dentro de la organización podría abrir buzones de otros usuarios y leer sus mensajes y archivos adjuntos.
La falla no permite saltar de una organización a otra. Las actualizaciones corrigen nueve vulnerabilidades en total y están disponibles para Exchange Server Subscription Edition, Exchange Server 2019 con la actualización acumulativa 15 y Exchange Server 2016 con la actualización acumulativa 23.
Según The Hacker News, Microsoft no tiene evidencia de que alguien la esté aprovechando, aunque considera más probable que se use en ataques. Para Exchange Online, la versión en la nube de Microsoft 365, la empresa ya aplicó una corrección desde sus servidores.
¿Por qué te importa?
El correo de una empresa guarda contratos, nóminas, contraseñas que alguien mandó por error y conversaciones delicadas. Una falla que deja a un usuario común leer el buzón de dirección o de finanzas es muy atractiva para alguien de adentro o para un atacante que ya robó una cuenta cualquiera.
Además, robar las credenciales de un solo empleado suele ser fácil con un correo falso. Con esta falla, esa cuenta pequeña podría convertirse en acceso a todo el correo de la organización.
¿Qué puedes hacer?
- Revisa qué versión de Exchange Server tienes y descarga la actualización de seguridad del 2 de octubre de 2026 desde el Microsoft Update Catalog o el Download Center.
- Instálala primero en un servidor de prueba si puedes; Microsoft documenta problemas conocidos, como calendarios publicados que dan error 500.
- Después de instalar, usa la herramienta gratuita Exchange Server Health Checker para confirmar que el parche quedó aplicado.
- Si usas Exchange Online, no necesitas hacer nada con esta falla, pero aprovecha para revisar que todas las cuentas tengan verificación en dos pasos.
- Revisa los registros de acceso a buzones para detectar si alguna cuenta abrió correos que no le corresponden.
Fuentes
- Microsoft Support: Description of version 2 of the security update for Microsoft Exchange Server Subscription Edition RTM: October 2, 2026 (KB5129955)
- The Hacker News: Microsoft Exchange Flaw Lets Authenticated Attackers Read Other Users’ Mailboxes
Imagen de portada: foto de RDNE Stock project en Pexels.
[…] Falla en Exchange Server deja leer buzones ajenos: actualiza ya […]