PT-2026-40978
CVE-2026-42897
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 2.0
9.4
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Microsoft Exchange Server 2016
Microsoft Exchange Server 2019
Microsoft Exchange Server Subscription Edition الإصدارات السابقة لـ 15.02.2562.043
الوصف
يحتوي Microsoft Exchange Server على ثغرة برمجية من نوع cross-site scripting (XSS) ناتجة عن عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب في Outlook Web Access (OWA). يمكن لمهاجم عن بُعد غير مصرح له استغلال ذلك عن طريق إرسال بريد إلكتروني مصمم خصيصًا؛ وإذا قام المستخدم بفتح الرسالة في OWA، يتم تنفيذ JavaScript تعسفي داخل جلسة متصفح الضحية المصادق عليها. يسمح هذا للمهاجم بإجراء هجمات انتحال الشخصية، واختطاف الجلسات، وسرقة بيانات الاعتماد، وقراءة صناديق البريد. تم استغلال هذه الثغرة بنشاط في هجمات واقعية استهدفت القطاعات الحكومية والاتصالات والتمويل والطيران. يتضمن الاستغلال التقني إرسال حمولة HTML مشوهة يتعامل معها محرك رندرة OWA كمنطق واجهة موثوق.
التوصيات
بالنسبة لـ Microsoft Exchange Server 2016 و 2019 و Subscription Edition، قم بتفعيل خدمة Exchange Emergency Mitigation Service (EEMS) لتطبيق تدابير حماية مؤقتة تلقائيًا.
بالنسبة للبيئات المعزولة، قم بتشغيل أداة Exchange On-Premises Mitigation Tool (EOMT) باستخدام الأمر
.EOMT.ps1 -CVE "CVE-2026-42897" لخادم واحد، أو Get-ExchangeServer | Where-Object { $ .ServerRole -ne "Edge" } | .EOMT.ps1 -CVE "CVE-2026-42897" لجميع الخوادم.
تثبيت تحديثات الأمان لشهر يونيو 2026 لإصدارات Exchange SE RTM و Exchange 2016 CU23 و Exchange 2019 CU14/CU15.
كإجراء تخفيف مؤقت، قم بتقييد الوصول الخارجي إلى واجهة OWA وانصح المستخدمين باستخدام تطبيق Outlook المكتبي بدلاً من واجهة الويب. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾