CISA wpisuje aktywnie wykorzystywaną lukę w Microsoft Exchange Server do katalogu KEV

Wprowadzenie do problemu / definicja

Amerykańska agencja CISA dodała podatność CVE-2026-42897 w Microsoft Exchange Server do katalogu Known Exploited Vulnerabilities, czyli zestawienia luk potwierdzonych jako wykorzystywane w rzeczywistych atakach. Problem dotyczy komponentu Outlook Web Access i ma charakter cross-site scripting, co może umożliwić zdalne wykonanie złośliwego kodu JavaScript w kontekście sesji użytkownika.

To istotny sygnał dla administratorów środowisk on-premises, ponieważ obecność luki w katalogu KEV oznacza podwyższony priorytet działań naprawczych i operacyjnych. W praktyce organizacje powinny traktować ten przypadek jako aktywne zagrożenie, a nie jedynie potencjalną słabość wymagającą planowej aktualizacji.

W skrócie

• CVE-2026-42897 dotyczy lokalnych wdrożeń Microsoft Exchange Server.
• Luka znajduje się w Outlook Web Access i została sklasyfikowana jako błąd XSS.
• Podatność otrzymała ocenę 8.1 w skali CVSS.
• Microsoft potwierdził jej aktywne wykorzystanie.
• CISA umieściła ją w katalogu KEV i wyznaczyła termin ograniczenia ryzyka dla agencji federalnych do 29 maja 2026 roku.
• Do czasu udostępnienia trwałej poprawki zalecane jest wdrożenie mechanizmów tymczasowo ograniczających ekspozycję.

Kontekst / historia

Microsoft Exchange od wielu lat pozostaje jednym z najcenniejszych celów dla grup APT, operatorów ransomware oraz przestępców prowadzących kampanie ukierunkowane na kradzież danych uwierzytelniających i przejmowanie komunikacji biznesowej. Serwery pocztowe obsługują wiadomości, załączniki, kalendarze i przepływy pracy, dlatego każda luka wpływająca na bezpieczeństwo interfejsu webowego niesie wysokie ryzyko biznesowe.

Wpisanie CVE-2026-42897 do KEV nastąpiło krótko po majowym cyklu poprawek bezpieczeństwa Microsoftu w 2026 roku. Sam fakt szybkiego dodania podatności do katalogu pokazuje, że zagrożenie zostało uznane za operacyjnie istotne i wymaga natychmiastowej reakcji po stronie administratorów oraz zespołów SOC.

Analiza techniczna

Podatność została opisana jako nieprawidłowa neutralizacja danych wejściowych podczas generowania strony WWW. Oznacza to, że określone dane mogą zostać osadzone w odpowiedzi HTML bez właściwego oczyszczenia lub zakodowania, co otwiera drogę do ataku typu cross-site scripting w interfejsie OWA.

Scenariusz ataku zakłada wykorzystanie odpowiednio spreparowanej wiadomości e-mail. Jeżeli użytkownik otworzy ją w Outlook Web Access w sprzyjających warunkach, złośliwy kod JavaScript może uruchomić się w przeglądarce i działać w kontekście aktywnej sesji. To szczególnie groźne, ponieważ nie wymaga uruchamiania załącznika ani pobierania klasycznego pliku malware.

Choć oficjalny opis wpływu wskazuje na spoofing, praktyczne skutki XSS w środowisku pocztowym mogą być znacznie szersze. Atakujący może próbować przejąć sesję, wykonywać akcje w imieniu użytkownika, uzyskać dostęp do widocznych danych lub przygotować grunt pod kolejne etapy kompromitacji. Skala zagrożenia zależy od uprawnień ofiary, architektury wdrożenia, konfiguracji przeglądarki oraz dodatkowych mechanizmów ochronnych obecnych w środowisku.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem może być przejęcie dostępu do konta pocztowego oraz wykorzystanie zaufanej infrastruktury komunikacyjnej organizacji do dalszych działań. W praktyce może to prowadzić do odczytu wiadomości, wysyłki e-maili w imieniu ofiary, rozpoznania relacji biznesowych oraz kradzieży danych wrażliwych.

W środowiskach firmowych taka kompromitacja może przełożyć się na oszustwa BEC, naruszenia poufności korespondencji, nadużycia związane z resetem haseł oraz przygotowanie dalszego ruchu bocznego. Ryzyko rośnie szczególnie tam, gdzie OWA jest publicznie dostępne z internetu, a Exchange pozostaje zintegrowany z systemami tożsamości i procesami operacyjnymi.

Rekomendacje

Administratorzy powinni niezwłocznie zidentyfikować wszystkie instancje Microsoft Exchange Server dostępne z internetu i ustalić, które z nich udostępniają Outlook Web Access. Jeżeli producent opublikował tymczasowe środki ograniczające ryzyko, należy wdrożyć je priorytetowo i równolegle monitorować dostępność docelowej poprawki bezpieczeństwa.

• przeprowadzić pełną inwentaryzację serwerów Exchange on-premises,
• ograniczyć ekspozycję OWA do zaufanych adresów IP lub przez VPN, jeśli pozwalają na to wymagania biznesowe,
• włączyć i przeanalizować logi IIS, Exchange oraz dane z systemów EDR,
• sprawdzić skrzynki pocztowe pod kątem wiadomości mogących zawierać ładunki uruchamiające XSS,
• wymusić silne MFA dla dostępu do poczty przez przeglądarkę,
• zweryfikować aktywne sesje, tokeny oraz reguły pocztowe pod kątem oznak nadużycia,
• przygotować procedurę reagowania obejmującą reset sesji, rotację haseł i analizę potencjalnego dostępu do danych.

Z perspektywy detekcji warto zwracać uwagę na nietypowe parametry w żądaniach HTTP, anomalie związane z renderowaniem treści wiadomości oraz działania wykonywane z legalnych kont, które odbiegają od normalnego profilu aktywności użytkowników. W razie jakichkolwiek przesłanek kompromitacji należy założyć możliwość przejęcia sesji i rozszerzyć analizę o warstwę aplikacyjną oraz tożsamościową.

Podsumowanie

Dodanie CVE-2026-42897 do katalogu KEV potwierdza, że luka w Microsoft Exchange Server stanowi element aktywnego krajobrazu zagrożeń. Połączenie wysokiej wartości celu, prostego wektora dostarczenia przez e-mail oraz potencjalnie poważnych skutków dla poufności i integralności komunikacji sprawia, że sprawa wymaga szybkiej reakcji.

Dla organizacji korzystających z Exchange on-premises oznacza to konieczność natychmiastowego wdrożenia środków ograniczających ryzyko, wzmożonego monitoringu oraz przygotowania do pilnej aktualizacji. W przypadku systemów pocztowych zwłoka znacząco zwiększa prawdopodobieństwo nadużyć i rozwoju incydentu.

Źródła

1. Security Affairs — https://securityaffairs.com/192240/hacking/u-s-cisa-adds-a-flaw-in-microsoft-exchange-server-to-its-known-exploited-vulnerabilities-catalog.html
2. Microsoft Security Response Center: CVE-2026-42897 — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897
3. CVE Record: CVE-2026-42897 — https://www.cve.org/CVERecord?id=CVE-2026-42897
4. CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog