Exchange zero-day sebezhetőség

A CVE-2026-42897 egy magas súlyosságú hamisítási sebezhetőség a Microsoft Exchange Server on-premises kiadásiban, amely a weboldal-generálás során nem megfelelően kezelt bemenet miatt XSS jellegű hibát használ ki. A támadó speciálisan előkészített e-maillel képes lehet böngészőkontextusban kódot futtatni, majd felhasználói identitást utánozni vagy műveleteket végrehajtani az áldozat nevében.

Lényeg

A hiba az Outlook Web Accesset érinti, és az Exchange Server 2016, 2019, valamint Subscription Edition on-premises környezetekre vonatkozik. Az Exchange Online nem érintett.

Kockázat

A CVSS v3.1 pontszám 8.1, a besorolás magas. A támadáshoz hálózati elérés kell, nincs szükség előzetes jogosultságra, de felhasználói interakció szükséges, mert a célpontnak meg kell nyitnia a megtévesztő üzenetet vagy oldalt.

Gyakorlati hatás

A sebezhetőség spoofingot, munkamenet-eltérítést és jogosulatlan műveleteket tehet lehetővé. A jelentések szerint aktív kihasználást is észleltek, ezért a javítás és az ideiglenes mitigációk alkalmazása sürgős.

Védekezés

A legfontosabb lépés a Microsoft által kiadott javítások és mitigációk alkalmazása, különösen az on-premises Exchange környezetekben. Érdemes az OWA-hozzáférést szűkíteni, az érintett rendszereket folyamatosan figyelni, és a biztonsági riasztásokat kiemelten kezelni.