Microsoft ha detectado una vulnerabilidad de spoofing y cross-site scripting (CVE-2026-42897) que afecta a versiones locales de Exchange Server y ya está siendo explotada. Un atacante podría ejecutar código JavaScript arbitrario mediante correos electrónicos diseñados para usuarios de Outlook Web Access. La empresa ha implementado mitigaciones temporales automáticas y recomienda aplicar las herramientas de seguridad disponibles mientras se prepara una solución permanente.





Microsoft ha revelado una nueva vulnerabilidad de seguridad que afecta a las versiones locales de Exchange Server, la cual, según ha indicado, está siendo explotada activamente.

La vulnerabilidad, identificada como CVE-2026-42897 (puntuación CVSS: 8.1), ha sido descrita como un error de suplantación derivado de un fallo de cross-site scripting (XSS). Se ha reconocido a un investigador anónimo por descubrir y reportar el problema.

"La neutralización inadecuada de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Exchange Server permite que un atacante no autorizado realice una suplantación a través de una red", afirmó el gigante tecnológico en un aviso el jueves https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897.

Microsoft, que etiquetó la vulnerabilidad con una evaluación de "Explotación Detectada", señaló que un atacante podría aprovecharla enviando un correo electrónico manipulado a un usuario, el cual, al abrirse en Outlook Web Access y bajo ciertas "condiciones de interacción", puede permitir la ejecución de código JavaScript arbitrario en el contexto del navegador web.

Redmond también señaló que está proporcionando una mitigación temporal a través de su Exchange Emergency Mitigation Service, mientras prepara una solución permanente para el defecto de seguridad.

El Servicio de Mitigación de Emergencia de Exchange proporcionará la mitigación automáticamente mediante una configuración de reescritura de URL y está habilitado por defecto. Si no lo está, se recomienda a los usuarios habilitar el servicio de Windows.

Según Microsoft, Exchange Online no se ve afectado por esta vulnerabilidad. Las siguientes versiones de Exchange Server locales están afectadas:

• Exchange Server 2016 (cualquier nivel de actualización)
• Exchange Server 2019 (cualquier nivel de actualización)
• Exchange Server Subscription Edition (SE) (cualquier nivel de actualización)

Si el uso del Servicio de Mitigación de Emergencia de Exchange no es una opción debido a restricciones de aislamiento físico (air-gap), la compañía ha detallado la siguiente serie de acciones:

• Descargar la versión más reciente de la Herramienta de Mitigación de Exchange local (EOMT) desde aka[.]ms/UnifiedEOMT.
• Aplicar la mitigación servidor por servidor o en todos los servidores a la vez ejecutando el script a través de un Exchange Management Shell (EMS) con privilegios elevados:
• Servidor único: .\EOMT.ps1 -CVE "CVE-2026-42897"
• Todos los servidores: Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | .\EOMT.ps1 -CVE "CVE-2026-42897"

Microsoft afirmó que también tiene conocimiento de un problema donde la mitigación muestra el mensaje "Mitigación no válida para esta versión de exchange" en el campo de Descripción. "Este problema es estético y la mitigación SÍ se aplica correctamente si el estado se muestra como 'Aplicado'", dijo el Equipo de Exchange https://techcommunity.microsoft.com/blog/exchange/addressing-exchange-server-may-2026-vulnerability-cve-2026-42897/4518498. "Estamos investigando cómo solucionar esto".

Actualmente no hay detalles sobre cómo se está explotando la vulnerabilidad, la identidad del actor de amenazas detrás de la actividad o la escala de tales esfuerzos. Tampoco está claro quiénes son los objetivos y si alguno de esos ataques tuvo éxito. Mientras tanto, se recomienda aplicar las mitigaciones sugeridas por Microsoft.

Fuente:
THN