Microsoft a révélé jeudi 14 mai une vulnérabilité exploitée dans Exchange Server sur site, référencée CVE-2026-42897. Elle touche Outlook sur le web (OWA) dans les versions 2016, 2019 et Subscription Edition, même à jour. Aucun correctif définitif n’est encore disponible : l’éditeur propose une mitigation temporaire.
Quelles versions d’Exchange sont touchées
- Exchange Server 2016 ;
- Exchange Server 2019 ;
- Exchange Server Subscription Edition (SE).
Microsoft classe la faille comme une vulnérabilité d’usurpation (spoofing) de sévérité élevée. Les articles consultés ne précisent pas si Exchange Online est concerné ; les mitigations publiées visent les serveurs sur site.
Comment fonctionne l’attaque
Il s’agit d’une faille de type cross-site scripting (XSS). L’attaquant envoie un email spécialement conçu ; si la victime l’ouvre dans OWA et que certaines conditions d’interaction sont réunies, du JavaScript arbitraire s’exécute dans son navigateur, dans le contexte de sa session de messagerie. De quoi, potentiellement, agir au nom de l’utilisateur ou lire ses messages.
Microsoft indique que la faille a été exploitée, sans fournir de détail sur les attaques, leurs auteurs ou leur ampleur. Elle a été signalée par un chercheur anonyme. Au moment de la publication de SecurityWeek, la CVE ne figurait pas encore au catalogue KEV de la CISA, qui recense déjà près de deux douzaines de failles Exchange.
La mitigation recommandée : EEMS
La première ligne de défense est l’Exchange Emergency Mitigation Service (EEMS), un service Windows qui tourne sur les serveurs ayant le rôle Mailbox et qui applique automatiquement les mitigations publiées par Microsoft. Il est activé par défaut ; Microsoft demande de le réactiver s’il a été désactivé. Attention : EEMS ne peut pas récupérer de nouvelles mitigations sur les serveurs dont la version d’Exchange est antérieure à mars 2023.
Serveurs isolés : l’outil EOMT
Pour les environnements sans accès Internet (air-gapped), Microsoft recommande de télécharger la dernière version de l’Exchange On-premises Mitigation Tool (EOMT) et de l’exécuter depuis un Exchange Management Shell lancé en administrateur.
# Sur un seul serveur
.EOMT.ps1 -CVE "CVE-2026-42897"
# Sur tous les serveurs Exchange sauf les serveurs Edge
Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | .EOMT.ps1 -CVE "CVE-2026-42897"La mitigation a des effets de bord connus : l’impression du calendrier dans OWA peut ne plus fonctionner, les images intégrées peuvent ne pas s’afficher dans le volet de lecture, et OWA light (/?layout=light) ne fonctionne plus correctement. Prévenez votre support avant de l’appliquer.
Quand arrive le correctif ?
Microsoft prévoit des mises à jour pour Exchange SE RTM, Exchange 2016 CU23 et Exchange 2019 CU14 et CU15. Point important : pour 2016 et 2019, ces correctifs ne seront disponibles que pour les clients inscrits au programme de support étendu Period 2 Exchange Server ESU. Les organisations qui font encore tourner ces versions sans ESU n’auront donc que la mitigation.
Que faire maintenant
- Inventoriez vos serveurs Exchange sur site et leurs versions (CU).
- Vérifiez qu’EEMS est actif sur chaque serveur Mailbox, ou appliquez EOMT manuellement sur les serveurs isolés.
- Si OWA est exposé sur Internet, demandez-vous s’il doit l’être : le placer derrière un VPN ou un proxy d’authentification réduit la surface d’attaque.
- Sensibilisez les utilisateurs d’OWA aux emails inattendus, en attendant le correctif.
- Surveillez la publication du correctif et planifiez son déploiement dès sa sortie.
- Si vous êtes encore sur Exchange 2016 ou 2019 sans ESU, c’est le moment d’accélérer la migration.