-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Microsoft Exchange
Advisory ID     : NCSC-2026-0234
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-54998, CVE-2026-55005, CVE-2026-55006,
                  CVE-2026-55008, CVE-2026-55009
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Heap-based Buffer Overflow
                  Deserialization of Untrusted Data
                  Incorrect Authorization
                  Insufficient Granularity of Access Control
Uitgiftedatum   : 20260714
Toepassing      : Microsoft Microsoft Exchange Online
                  Microsoft Microsoft Exchange Server 2016 Cumulative
                  Update 23
                  Microsoft Microsoft Exchange Server 2019 Cumulative
                  Update 14
                  Microsoft Microsoft Exchange Server 2019 Cumulative
                  Update 15
                  Microsoft Microsoft Exchange Server Subscription
                  Edition RTM
Versie(s)       :
Platform(s)     :

Beschrijving
   Microsoft heeft kwetsbaarheden verholpen in Exchange, zowel Online
   als on-premise.

   Een kwaadwillende kan de kwetsbaarheden misbruiken om zich voor te
   doen als andere gebruiker, zich verhoogde rechten toe te kennen,
   mogelijk willekeurige code uit te voeren en zo toegang te krijgen tot
   gevoelige gegevens.
   De kwetsbaarheid in Exchange Online is inmiddels door Microsoft
   centraal verholpen en is opgenomen ter informatie. Hiervoor zijn geen
   acties benodigd.
   De ernstigste kwetsbaarheid in Exchange Server (on-premise) heeft een
   CVSS van 9.6 toegewezen gekregen en bevindt zich in Outlook Web
   Access. Deze kwetsbaarheid stelt een kwaadwillende in staat om een
   Cross-Site-Scripting-aanval (XSS) uit te voeren en zo toegang te
   krijgen tot de omgeving van het slachtoffer. Er is (nog) geen actief
   misbruik waargenomen en er is ook geen Proof-of-Concept-code (PoC)
   bekend, maar Microsoft geeft aan dat zij de kans op misbruik op korte
   termijn waarschijnlijk achten. Met name OWA-omgevingen die publiek
   toegankelijk zijn lopen hierdoor verhoogd risico.
   ```
   Microsoft Exchange Online:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2026-54998 | 8.80 | Verkrijgen van verhoogde rechten    |
   |----------------|------|-------------------------------------|
   Microsoft Exchange Server:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2026-55005 | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-55006 | 7.80 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-55008 | 9.60 | Voordoen als andere gebruiker       |
   | CVE-2026-55009 | 7.80 | Verkrijgen van verhoogde rechten    |
   |----------------|------|-------------------------------------|
   ```

Mogelijke oplossingen
   Microsoft heeft updates beschikbaar gesteld waarmee de beschreven
   kwetsbaarheden worden verholpen. We raden u aan om deze updates te
   installeren. Meer informatie over de kwetsbaarheden, de installatie
   van de updates en eventuele work-arounds vindt u op:
   https://portal.msrc.microsoft.com/en-us/security-guidance

   Referenties:


Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmpWgUcACgkQgupWoL0Z
hGEkBAv9FJ9ofgH0CKIL+bwLhD8Nn5HC06XJbLDsGEfGtE4AFtIlRwo9D/lLX01t
r5pIp4jeqHVZWhkZjNMb+7/54BuPsY6i+DMRYm0A4udcx2pGO/sg73nC1AvXPNv4
147j03rdd+058wIncuLQ1q28pvggcGyCRZ0SSsEoWn4+8IcN2Su0eEQlkM8eUUMl
s1nPWL4wBDORvk0sG5oCsXtYxRbDHDDVW+2qyZyiXIqyrpc8T0Hd+XszzBNUwfaz
XU31Xt98MVR++kHiHRIX0KtiMjPneMeDBSe8732BpjkcrQoyWYxd6hNlAhKfGir2
pfGMhGNe2o181LvsK2hYXzWzT8m0IC8GbTJBeM7eR2cM2U3xmThdjllKgLkJC2bb
xqy5CN5bbDIeqSM3KH5VD/sjONOMinoJvPVL6lwkHcqquwERPedziDdrSKTG9ZOl
T96lzQtrgCQWStIg7OBlNpDcaNaCfEJ87S841s9MIakb7K2mq8myt1Vk+4Fg3b0A
rP4xN92B
=VRVu
-----END PGP SIGNATURE-----