Microsoft heeft twee kritieke kwetsbaarheden in Microsoft Exchange Online en Microsoft 365 Copilot opgelost die aanvallers in staat hadden kunnen stellen hun rechten binnen een netwerk te verhogen. Volgens het bedrijf hoeven klanten geen verdere actie te ondernemen.

De eerste kwetsbaarheid, CVE-2026-54998, betrof een probleem met incorrecte autorisatie in Exchange Online. Hierdoor kon een ongeautoriseerde aanvaller via het netwerk zijn rechten verhogen. Deze kwetsbaarheid werd gemeld door een externe onderzoeker. De tweede kwetsbaarheid, CVE-2026-41106, betrof een open redirect in 365 Copilot, waardoor eveneens een aanvaller via het netwerk zijn rechten kon verhogen. Dit lek werd door Microsoft zelf ontdekt. Details over de wijze van misbruik en de precieze impact zijn niet openbaar gemaakt. Microsoft meldt geen aanwijzingen te hebben voor misbruik van beide kwetsbaarheden.