Une faille exploitée dans Exchange Server transforme les boîtes de réception OWA en rampes de lancement de scripts

Microsoft a confirmé une vulnérabilité dans le serveur Exchange sur site qui pourrait entraîner l’exécution surprise de scripts dans les navigateurs des victimes.

Suivie comme CVE-2026-42897, la faille affecte Outlook Web Access (OWA) et peut être déclenchée par un e-mail spécialement conçu ouvert dans OWA, en supposant que « certaines conditions d’interaction soient remplies ». La récompense pour les attaquants est l’exécution arbitraire de JavaScript dans le contexte du navigateur de la marque.

L’avis décrit la faille comme une vulnérabilité d’usurpation d’identité provenant de scripts intersites, qui déclenchera une sonnette d’alarme pour les administrateurs, et il semble que la vulnérabilité soit exploitée. Le bug a reçu un score CVSS de 8,1.

Exchange Server 2016, 2019 et la dernière version, Exchange Server Subscription Edition (SE), sont tous concernés quel que soit leur niveau de mise à jour. Une atténuation a été publiée via le service Exchange Emergency Mitigation (EM).

Cependant, Microsoft a averti que l’atténuation pourrait perturber d’autres choses : les images en ligne pourraient cesser de fonctionner dans le volet de lecture OWA du destinataire (utilisez plutôt les pièces jointes) et la fonctionnalité d’impression du calendrier OWA pourrait ne pas fonctionner (utilisez une capture d’écran ou le client Outlook Desktop).

Enfin, OWA Light peut ne pas fonctionner correctement. Microsoft l’a rendu obsolète en 2024, les utilisateurs concernés devraient donc envisager une mise à niveau.

L’atténuation peut également être appliquée manuellement dans les scénarios où les clients n’utilisent pas le service EM. Il peut s’agir d’environnements déconnectés ou isolés – exactement le genre d’environnements dans lesquels Exchange sur site a tendance à s’attarder.

Microsoft travaille sur une mise à jour de sécurité complète, même si seule la version Exchange SE sera accessible au public. Les clients Exchange 2016 et 2019 le recevront uniquement s’ils sont inscrits à la période 2 du programme de mises à jour de sécurité étendues (ESU) d’Exchange Server. La deuxième période d’Exchange Server ESU a débuté ce mois-ci, Microsoft avertissant sévèrement qu’il n’y aurait aucune extension après sa fin. La vulnérabilité n’affecte pas Exchange Online.

Microsoft n’a donné aucun détail sur le fonctionnement de l’exploit, ni sur l’ampleur de son exploitation. ®