Jakie zagrożenie niesie nowa podatność w Microsoft Exchange?
Jakie zagrożenie niesie nowa podatność w Microsoft Exchange?
Ostatnio odkryto krytyczną podatność 0-day w Microsoft Exchange (CVE-2026-42897), która może mieć poważne konsekwencje dla użytkowników. Luka dotyczy Outlook Web Access (OWA) i jest już aktywnie wykorzystywana przez atakujących.
Scenariusz ataku jest prosty, ale niebezpieczny. Atakujący wysyła ofierze spreparowanego maila. Po otwarciu wiadomości w przeglądarce (tj. w OWA) oraz wykonaniu pewnej akcji, w tle może zostać uruchomiony kod JavaScript. Taki atak to klasyczny przykład persistent XSS.
W wyniku tego ataku, napastnik może uzyskać dostęp do e-maili ofiary oraz przechwycić ciastko sesyjne, co otwiera drzwi do dalszych działań, w tym wysyłania wiadomości podszywając się pod ofiarę.
Microsoft wydał tymczasowe zalecenia, ale pełne patche mają być dostępne wkrótce. Podatne są wersje Microsoft Exchange Server 2016/2019/SE, natomiast Exchange Online nie jest narażony na tę lukę.
- Podatność: CVE-2026-42897
- Typ ataku: persistent XSS
- Dotknięte wersje: Exchange Server 2016/2019/SE
Na podstawie: Źródła
