CVE-2026-42897

Nome do Software Vulnerável e Versões Afetadas Microsoft Exchange Server 2016 Microsoft Exchange Server 2019 Microsoft Exchange Server Subscription Edition versões anteriores a 15.02.2562.043

Descrição O Microsoft Exchange Server contém uma falha de cross-site scripting (XSS) causada pela neutralização inadequada de entrada durante a geração de páginas web no Outlook Web Access (OWA). Um invasor remoto não autorizado pode explorar isso enviando um e-mail especialmente elaborado; se um usuário abrir a mensagem no OWA, o JavaScript arbitrário é executado na sessão do navegador autenticada da vítima. Isso permite que o invasor realize spoofing, sequestre sessões, roube credenciais e leia caixas de correio. O problema foi explorado ativamente, visando os setores governamental, de telecomunicações, financeiro e aeroespacial. A exploração técnica envolve o envio de um payload HTML malformado que o mecanismo de renderização do OWA trata como lógica de interface confiável.

Recomendações Para Microsoft Exchange Server 2016, 2019 e Subscription Edition, ative o Exchange Emergency Mitigation Service (EEMS) para aplicar proteções temporárias automaticamente. Para ambientes isolados ou air-gapped, execute a ferramenta Exchange On-Premises Mitigation Tool (EOMT) usando o comando .EOMT.ps1 -CVE "CVE-2026-42897" para um único servidor, ou Get-ExchangeServer | Where-Object { $ .ServerRole -ne "Edge" } | .EOMT.ps1 -CVE "CVE-2026-42897" para todos os servidores. Instale as atualizações de segurança de junho de 2026 para Exchange SE RTM, Exchange 2016 CU23 e Exchange 2019 CU14/CU15. Como mitigação temporária, restrinja o acesso externo à interface OWA e oriente os usuários a utilizarem o cliente desktop do Outlook em vez da interface web.