PT-2026-40978 · Microsoft · Exchange Server

Publicado 2026-05-14 · Atualizado 2026-07-07 · CVE-2026-42897

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas Microsoft Exchange Server 2016 Microsoft Exchange Server 2019 Microsoft Exchange Server Subscription Edition

Description Uma neutralização inadequada de entrada durante a geração de páginas web resulta em uma falha de cross-site scripting (XSS) no Outlook Web Access (OWA). Um invasor remoto pode explorar isso enviando um e-mail especialmente criado; se um usuário abrir a mensagem no OWA e certas condições de interação forem atendidas, JavaScript arbitrário é executado na sessão do navegador da vítima. Isso permite que o invasor realize spoofing, sequestre sessões autenticadas, roube credenciais e acesse dados da caixa de correio. O problema tem sido explorado ativamente, visando ambientes locais para obter acesso à identidade e comunicações corporativas.

Recommendations Para o Microsoft Exchange Server Subscription Edition, aplique a atualização RTM ou a Atualização de Segurança de junho de 2026. Para o Microsoft Exchange Server 2016, aplique o CU23 (requer inscrição no programa Period 2 Extended Security Update) ou a Atualização de Segurança de junho de 2026. Para o Microsoft Exchange Server 2019, aplique o CU14 ou CU15 (requer inscrição no programa Period 2 Extended Security Update) ou a Atualização de Segurança de junho de 2026. Como mitigação temporária, habilite o Exchange Emergency Mitigation Service (EEMS) para aplicar automaticamente as proteções de IIS URL Rewrite. Para ambientes isolados (air-gapped), execute a ferramenta Exchange on-premises Mitigation Tool (EOMT) usando o comando .EOMT.ps1 -CVE "CVE-2026-42897". Restrinja a exposição externa da interface OWA sempre que possível para minimizar a superfície de ataque.

Exploit

Correção

RCE

DoS

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2026-06919

CVE-2026-42897

Produtos afetados

Exchange Server

Referências · 282

• 🔥 https://github.com/atiilla/CVE-2026-42897 · Exploit
• https://twitter.com/Osec__/status/2060065303908729319 · Publicação no Twitter
• https://twitter.com/windowsforum/status/2054988565935780111 · Publicação no Twitter
• https://twitter.com/DecryptionDigst/status/2056351132583182712 · Publicação no Twitter
• https://reddit.com/r/u_casaaugusta/comments/1u3pmky/ms_exchange_server_xss_vulnerability · Publicação no Reddit
• https://cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42897 · Nota
• https://twitter.com/the_yellow_fall/status/2056190499325960681 · Publicação no Twitter
• https://twitter.com/JNitterauer/status/2057102032150950384 · Publicação no Twitter
• https://twitter.com/DzinexC/status/2073200130459627694 · Publicação no Twitter
• https://twitter.com/aviatrixtrc/status/2055686525724000556 · Publicação no Twitter
• https://twitter.com/VivekIntel/status/2055186070208467258 · Publicação no Twitter
• https://twitter.com/ToolsLib/status/2055349539268170042 · Publicação no Twitter
• https://twitter.com/EnigmaGlobalSW/status/2056010076826059081 · Publicação no Twitter
• https://twitter.com/f1tym1/status/2055268155786768541 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2055456382770667954 · Publicação no Twitter