Microsoft Exchange, una falla permette di leggere le email dei colleghi

Una casella Exchange aziendale potrebbe diventare il passaggio per leggere le email di altri utenti: la falla descritta riguarda server gestiti direttamente dalle organizzazioni e richiede autenticazione. Ma le informazioni circolate non concordano sugli identificativi della vulnerabilità. Prima di installare una patch, gli amministratori devono verificare quale problema sia stato corretto e quali sistemi siano coinvolti.

Una falla, ma i numeri non tornano

La prima cosa da verificare è il numero della vulnerabilità. Le informazioni disponibili riportano sia CVE-2026-96940, con un punteggio CVSS di 8,8, sia CVE-2026-42897, valutata 8,1 e descritta come sfruttata attivamente. Non è chiaro se si tratti di due falle diverse o se le segnalazioni siano state confuse.

Per ora, il punto fermo è più limitato: in determinate condizioni e con autenticazione, una vulnerabilità di Exchange Server permetterebbe di leggere le caselle di altri utenti. Non vuol dire che chiunque possa aprire le email di un collega con un clic. È una porta socchiusa, non spalancata.

Il mio verdetto è netto: non trasformare i due avvisi in un’unica storia. Senza una conferma nell’advisory Microsoft, attribuire alla falla un identificativo preciso o definirla attivamente sfruttata rischia di creare più confusione che chiarezza.

Il rischio riguarda soprattutto i server gestiti in casa

La distinzione pratica è tra Exchange Server, installato e amministrato dall’organizzazione nei propri locali o nel proprio ambiente cloud, ed Exchange Online, il servizio gestito da Microsoft. Le segnalazioni indicano che il problema riguarda il primo caso e che Exchange Online sarebbe già stato mitigato lato servizio. È un’informazione da verificare nell’ultima comunicazione ufficiale, non una garanzia valida per ogni configurazione.

Se usi Microsoft 365, chiedi all’amministratore IT se la posta passa da Exchange Online o da un server gestito internamente. La verifica è particolarmente importante se l’accesso alla posta aziendale dipende da infrastrutture locali: è lì che si concentra il controllo.

La mia posizione è chiara: gli utenti non devono installare aggiornamenti server da soli. Un server di posta gestisce le comunicazioni di tutta l’organizzazione, un po’ come una centrale ferroviaria: un intervento improvvisato può fermare il traffico senza risolvere il problema.

Patch e controlli: niente aggiornamenti alla cieca

Il materiale disponibile cita l’aggiornamento di sicurezza Microsoft 5121609, indicato come pubblicato il 2 ottobre 2026. Prima di installarlo, l’amministratore dovrebbe confrontare il numero con la pagina Microsoft relativa alla versione in uso e verificare che l’aggiornamento sia adatto a quel server. Le diverse versioni di Exchange, infatti, non seguono sempre lo stesso percorso di manutenzione.

Dopo l’installazione, la segnalazione raccomanda anche di controllare l’integrità del server. Non saltare questo passaggio: applicare una patch e verificare che il sistema funzioni bene sono due cose diverse, come chiudere una finestra e controllare che il chiavistello tenga.

Per te, il segnale concreto è una comunicazione dell’IT che indichi il prodotto coinvolto, l’identificativo CVE e l’aggiornamento installato. Se questi tre elementi non coincidono, chiedi conferma prima di trarre conclusioni. La riservatezza delle email non è un dettaglio tecnico.

Prima si controlla l’avviso Microsoft corretto, poi si verifica il server. Una patch precisa è meglio di una corsa alla cieca.

Elsa Morante

Elsa, romanciera e saggista appassionata, ha sempre intrecciato racconti avvolgenti con riflessioni profonde, trasformando ogni pagina in un viaggio emozionale. Nel suo angolo digitale, condivide con calore i segreti della scrittura e le sfumature della creatività letteraria, invitando ogni lettore a scoprire la magia delle parole.