Microsoft сообщила об уязвимости CVE-2026-42897 в локальных версиях Exchange Server, которая уже активируется злоумышленниками через поддельные email-сообщения. Уязвимость оценивается в 8,1 по шкале CVSS и связана с проблемой межсайтового скриптинга (XSS).
Характеристика уязвимости
По данным Microsoft, уязвимость связана с некорректной нейтрализацией ввода при генерации веб-страниц, что дает возможность неавторизованным злоумышленникам проводить атаки на сеть. Когда пользователь открывает поддельное e-mail в Outlook Web Access, происходит выполнение произвольного JavaScript-кода в контексте браузера.
Как защититься
Microsoft отметила, что уязвимость затрагивает следующие версии Exchange Server:
- Exchange Server 2016 (любое обновление)
- Exchange Server 2019 (любое обновление)
- Exchange Server Subscription Edition (SE) (любое обновление)
Фирма предлагает временные меры безопасности через Exchange Emergency Mitigation Service, которая применима автоматически. При этом пользователям настоятельно рекомендуется включить эту функцию, если она отключена.
Проблемы с применением мер
Microsoft также предупреждает о проблеме, когда мера защиты может показать сообщение "Митигирование недопустимо для этой версии Exchange". Однако разработчики подтверждают, что это косметическая ошибка: защита все равно применяется успешно.
Влияние на бизнес
Для российских пользователей и компаний, использующих Exchange Server, важно быстро адаптироваться к этой угрозе, так как уязвимость может быть использована для массовых атак на корпоративные почтовые системы. Рекомендуется незамедлительно внедрять предложенные меры и следить за новостями от Microsoft о постоянных обновлениях.
Следующий шаг от Microsoft — постоянное решение проблемы, которое ожидается в ближайшее время.