- Exploit público para a vulnerabilidade de alta gravidade CVE-2026-45504 no Exchange Server eleva o risco de ataques em ambientes locais que não aplicaram as correções de junho de 2026.
- A falha permite leitura de arquivos arbitrários por um usuário autenticado com baixo privilégio, com impacto potencial em credenciais comprometidas.
- O problema está ligado à integração do Exchange com recursos de visualização de documentos e pode ocorrer na geração de prévias, quando o servidor acessa arquivos locais indevidamente.
- A divulgação de um exploit funcional aumenta a urgência da correção, mesmo com a avaliação inicial de exploração improvável pela Microsoft.
- Empresas devem aplicar imediatamente as atualizações de segurança: Exchange 2016 CU23, Exchange 2019 CU14 e CU15, e Exchange Subscription Edition RTM.
O que aconteceu: uma prova de conceito pública foi divulgada para uma vulnerabilidade de alta gravidade no Microsoft Exchange Server, elevando o risco de ataque em ambientes locais que não aplicaram as correções de junho de 2026. A falha, identificada como CVE-2026-45504, afeta versões 2016, 2019 e Exchange Subscription Edition. A Microsoft corrigiu o problema nas atualizações de segurança de 9 de junho de 2026.
O que está envolvido: a vulnerabilidade permite que um usuário autenticado com baixo privilégio leia arquivos arbitrários no servidor Exchange. Embora exija uma conta válida com caixa postal, o impacto pode ser relevante para empresas com credenciais comprometidas. A falha está ligada à integração do Exchange com recursos de visualização de documentos.
Quando e onde: a divulgação ocorreu com a disponibilidade pública do exploit funcional, aumentando a urgência de aplicação das correções. A vulnerabilidade afeta instalações locais (on-premises) de Exchange. O contexto é técnico, relacionado a como o Exchange processa pré-visualizações de documentos.
Por que isso importa: mesmo com avaliação inicial da Microsoft de exploração improvável, o código público reduz barreiras para atacantes. Em cenários corporativos, dados sensíveis podem ficar expostos caso credenciais já comprometidas sejam usadas para explorar a falha.
Versões afetadas e medidas
- Exchange Server 2016 CU23, Exchange Server 2019 CU14, CU15 e Exchange Subscription Edition RTM estão entre as versões impactadas.
- Empresas devem aplicar imediatamente as atualizações de segurança correspondentes.
- As correções foram disponibilizadas pela Microsoft nas atualizações de junho de 2026, visando mitigar CVE-2026-45504.
Entre na conversa da comunidade