CVE-2026-42897: Microsoft confirma exploração ativa de falha XSS no Exchange Server local via e-mail malicioso

A Microsoft divulgou uma nova vulnerabilidade crítica afetando ambientes locais do Microsoft Exchange Server. A falha foi identificada como CVE-2026-42897 e já está sendo explorada ativamente segundo a própria empresa.

A vulnerabilidade foi classificada com pontuação CVSS 8.1 e envolve um problema de cross-site scripting (XSS) capaz de permitir spoofing dentro do ambiente Exchange.

Segundo a Microsoft, a vulnerabilidade ocorre devido à neutralização inadequada de entradas durante a geração de páginas web dentro do Exchange Server.

Como o ataque funciona?

A exploração da CVE-2026-42897 depende do envio de um e-mail malicioso para um usuário utilizando Outlook Web Access (OWA).

Fluxo conceitual do ataque:

e-mail malicioso → abertura no OWA → execução de JavaScript → spoofing → possível comprometimento da sessão

Segundo a Microsoft, ao abrir a mensagem maliciosa sob determinadas condições de interação, o navegador pode executar JavaScript arbitrário dentro do contexto do Outlook Web Access.

Isso significa que o atacante potencialmente consegue:

Embora a empresa ainda não tenha divulgado detalhes completos da exploração observada, o fato da vulnerabilidade já estar sendo utilizada ativamente aumenta significativamente a criticidade do caso.

O que torna essa vulnerabilidade perigosa?

O Outlook Web Access é amplamente utilizado em ambientes corporativos para acesso remoto a e-mails e recursos do Exchange.

Isso significa que um ataque bem-sucedido pode atingir:

O principal risco não é apenas o XSS em si, mas o contexto altamente privilegiado onde ele acontece.

Quando um JavaScript é executado dentro de uma sessão autenticada do OWA, ele pode interagir diretamente com elementos acessíveis ao usuário logado.

Exchange Online não é afetado

Segundo a Microsoft, a vulnerabilidade afeta apenas versões locais (on-premises) do Exchange Server.

O Exchange Online não foi impactado.

As versões vulneráveis incluem:

A Microsoft informou que todas as versões e níveis de atualização dessas edições devem ser considerados vulneráveis até aplicação da mitigação.

Mitigação temporária via Exchange Emergency Mitigation Service

Enquanto prepara um patch definitivo, a Microsoft disponibilizou uma mitigação temporária através do Exchange Emergency Mitigation Service (EEMS).

O mecanismo funciona automaticamente utilizando regras de reescrita de URL.

Segundo a empresa, o serviço vem habilitado por padrão nos ambientes suportados.

Fluxo simplificado:

detecção da vulnerabilidade → distribuição da mitigação → aplicação automática via URL Rewrite

A recomendação oficial é verificar imediatamente se o serviço está ativo.

Get-Service MSExchangeMitigation

Caso esteja desabilitado:

Start-Service MSExchangeMitigation

Ambientes isolados (air-gap) exigem mitigação manual

Para ambientes sem conectividade externa ou com isolamento físico (air-gap), a Microsoft recomenda aplicar manualmente a mitigação utilizando a Exchange On-Premises Mitigation Tool (EOMT).

A ferramenta pode ser baixada em:

Microsoft UnifiedEOMT

Execução para servidor único:

.\EOMT.ps1 -CVE "CVE-2026-42897"

Execução para múltiplos servidores:

Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | .\EOMT.ps1 -CVE "CVE-2026-42897"

A Microsoft também informou que existe um problema visual conhecido na ferramenta.

Em alguns casos, a interface pode exibir:

Mitigação inválida para esta versão do Exchange

Segundo a empresa, trata-se apenas de um erro visual.

Ainda existem poucas informações sobre os ataques

Até o momento, a Microsoft não divulgou detalhes técnicos completos sobre os ataques observados.

Ainda não se sabe:

Mesmo assim, o status de exploração ativa já é suficiente para tratar o problema como prioridade operacional.

XSS em aplicações corporativas continua extremamente relevante

Embora cross-site scripting seja uma vulnerabilidade antiga, ela continua sendo extremamente perigosa em aplicações corporativas modernas.

Em ambientes como Exchange, OWA e painéis administrativos, um XSS pode permitir:

Fluxo conceitual possível:

e-mail malicioso → XSS no OWA → roubo de sessão → acesso autenticado → abuso da conta

Isso se torna ainda mais crítico em ambientes onde administradores utilizam o OWA diretamente.

Recomendações imediatas

Administradores Exchange devem agir rapidamente para reduzir o risco.

Ações recomendadas:

Verificação rápida do status do Exchange:

Get-ExchangeServer

Verificação de serviços relacionados:

Get-Service *Exchange*

Conclusão

A CVE-2026-42897 reforça como aplicações corporativas expostas à internet continuam sendo alvo prioritário para exploração ativa.

Mesmo sendo “apenas” uma falha XSS, o impacto potencial aumenta drasticamente quando o problema ocorre dentro de um ambiente autenticado como o Outlook Web Access.

O caso também demonstra uma tendência importante: ataques modernos frequentemente começam com vetores simples, como e-mails maliciosos, mas exploram aplicações corporativas altamente privilegiadas para ampliar impacto.

Com exploração ativa já confirmada pela Microsoft, administradores de Exchange Server devem tratar a mitigação como prioridade imediata até a disponibilização do patch definitivo.

The Hacker News

Microsoft MSRC

Microsoft Exchange Team Blog

Escrito por

Daniel Felipe

Daniel Felipe é criador do NetCatTest e produz conteúdos sobre cibersegurança, privacidade digital, OSINT, laboratórios autorizados e ferramentas para estudo técnico responsável.

Perfil e publicações [email protected] YouTube GitHub LinkedIn