Una grave vulnerabilità zero-day in Microsoft Exchange Server è attivamente sfruttata in the wild. La falla, tracciata come CVE-2026-42897, permette a un attaccante di compromettere un sistema semplicemente inviando un’email malevola. Le organizzazioni che utilizzano Exchange on-premises sono a rischio immediato.
CVE-2026-42897: cosa sappiamo sulla vulnerabilità
La natura tecnica del difetto
Microsoft classifica CVE-2026-42897 come una vulnerabilità di tipo Cross-Site Scripting (XSS). Tecnicamente, si tratta di un’impropria neutralizzazione dell’input durante la generazione di pagine web. Il risultato è un attacco di spoofing con potenziale esecuzione arbitraria di codice JavaScript.
Il vettore di attacco è particolarmente insidioso. L’attaccante invia un’email appositamente costruita alla vittima. Quando il destinatario apre il messaggio in Outlook Web Access (OWA), il codice malevolo si esegue nel contesto del browser. In determinate condizioni di interazione, questo può portare a esecuzione di codice arbitrario.
I sistemi colpiti
La vulnerabilità interessa le seguenti versioni di Exchange Server on-premises:
- Exchange Server 2016
- Exchange Server 2019
- Exchange Server Subscription Edition (SE)
Vale la pena sottolineare un aspetto critico: anche le installazioni completamente aggiornate risultano vulnerabili. Non esiste, al momento, una patch definitiva rilasciata da Microsoft.
Sfruttamento attivo: attacchi già in corso
Exploit in the wild confermato
Microsoft e diverse fonti di sicurezza hanno confermato lo sfruttamento attivo di CVE-2026-42897. Gli attacchi sono osservati in ambienti reali. Questo eleva significativamente il livello di urgenza per i team di sicurezza.
Tuttavia, al momento della pubblicazione, nessun attore specifico è stato pubblicamente identificato. Non esistono attribuzioni a campagne note o gruppi APT. Le indagini sono ancora in corso.
In questo contesto, la rapidità di risposta è fondamentale. Ogni giorno senza mitigazione rappresenta una finestra aperta agli attaccanti.
Perché questa falla è particolarmente pericolosa
Questo zero-day è pericoloso per almeno tre ragioni. Prima: il vettore è l’email, lo strumento più diffuso nelle organizzazioni. Seconda: non richiede autenticazione dell’attaccante. Terza: colpisce Exchange on-premises, spesso usato da enti governativi e infrastrutture critiche.
Parallelamente, la natura XSS della vulnerabilità significa che l’attacco avviene nel browser della vittima. I controlli di rete tradizionali possono non essere sufficienti a rilevarlo.
Mitigazioni disponibili: cosa fare subito
Exchange Emergency Mitigation Service (EEMS)
Microsoft ha rilasciato mitigazioni automatiche tramite l’Exchange Emergency Mitigation Service (EEMS). I server Exchange idonei riceveranno la mitigazione automaticamente. Questo servizio è disponibile per Exchange SE e le versioni recenti con connettività internet.
Di conseguenza, i team IT devono verificare immediatamente che EEMS sia abilitato e operativo. È una delle prime azioni da intraprendere.
Ambienti air-gapped e isolati
Non tutti gli ambienti hanno accesso a internet. Per i server disconnessi o air-gapped, Microsoft fornisce uno strumento alternativo: l’Exchange On-premises Mitigation Tool (EOMT). Lo strumento deve essere eseguito specificando CVE-2026-42897 come target.
Inoltre, i team devono essere consapevoli di possibili impatti operativi. Le mitigazioni possono interferire con alcune funzionalità OWA, tra cui:
- La stampa del calendario OWA
- La visualizzazione di immagini inline nelle email
In particolare, le organizzazioni devono comunicare queste limitazioni agli utenti finali. Riduce i ticket di supporto e la confusione operativa.
Patch: quando arriveranno
Microsoft rilascerà aggiornamenti di sicurezza per Exchange SE in modo pubblico. Per Exchange Server 2016 e 2019, gli aggiornamenti saranno disponibili esclusivamente attraverso il programma Extended Security Updates (ESU) – Periodo 2.
Tuttavia, una tempistica precisa non è ancora stata annunciata. Le organizzazioni devono agire subito con le mitigazioni disponibili. Attendere la patch non è una strategia accettabile.
Raccomandazioni per CISO e responsabili IT
Le priorità immediate per i team di sicurezza sono chiare:
- Verificare quali versioni di Exchange on-premises sono in uso.
- Controllare lo stato di EEMS su tutti i server idonei.
- Applicare EOMT sui server air-gapped con il parametro CVE-2026-42897.
- Monitorare i log OWA per attività anomale.
- Informare gli utenti di possibili limitazioni funzionali temporanee.
Vale la pena sottolineare che questa vulnerabilità Exchange zero-day dimostra ancora una volta il rischio degli ambienti on-premises non patchati. La transizione verso soluzioni cloud gestite può ridurre questa superficie d’attacco nel lungo termine.
Fonti:
- BleepingComputer – Microsoft warns of Exchange zero-day flaw exploited in attacks
- SecurityWeek – Microsoft warns of Exchange Server zero-day exploited in the wild
- Infosecurity Magazine – Microsoft zero-day Exchange servers
- Fonte originale – CSO Online
Fonte: Articolo originale
Un attacco zero-day su Exchange Server come CVE-2026-42897 evidenzia quanto sia critica la condivisione tempestiva di threat intelligence tra organizzazioni. Piattaforme come IsacChain permettono la distribuzione sicura e verificata di indicatori di compromissione in tempo reale, supportando i team di sicurezza nel rispondere prima che la minaccia si propaghi. La compliance NIS2 automatizzata integrata nella piattaforma consente inoltre di documentare le azioni di mitigazione con evidenze certificate su blockchain, riducendo il rischio legale e operativo per enti governativi e infrastrutture critiche. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com