Il 14 maggio Microsoft ha reso nota la CVE-2026-42897, una vulnerabilità in Exchange Server già sfruttata negli attacchi. Riguarda Outlook Web Access, l’interfaccia web della posta, e ha una gravità di 8,1. Il giorno dopo le autorità statunitensi l’hanno aggiunta all’elenco delle vulnerabilità sfruttate attivamente. Una correzione definitiva, al momento, non c’è.
Il problema è un cross-site scripting. Un attaccante invia un’email costruita ad arte; quando il destinatario la apre in OWA e si verificano alcune condizioni di interazione, nel suo browser parte codice JavaScript scelto dall’attaccante. Quel codice agisce con la sessione dell’utente, quindi può leggere la posta, mandare messaggi a suo nome o rubare i dati della sessione.
Sono coinvolti Exchange Server 2016, 2019 e Subscription Edition, a qualsiasi livello di aggiornamento. Exchange Online, il servizio cloud di Microsoft 365, non è coinvolto. Microsoft non ha detto chi stia sfruttando la falla né quanti siano i bersagli.
Una mitigazione che non arriva a tutti
In attesa della patch, Microsoft distribuisce una mitigazione tramite l’Exchange Emergency Mitigation Service, attivo di default, che applica in automatico una regola di riscrittura degli URL. Ci sono due avvertenze. Il servizio non riceve nuove mitigazioni sui server con versioni di Exchange precedenti a marzo 2023, cioè proprio quelli più trascurati. E la regola può limitare alcune funzioni di OWA, come la stampa del calendario e la visualizzazione delle immagini incorporate nel riquadro di lettura. Se gli utenti si lamentano di immagini sparite, è il segno che la mitigazione funziona.
Chi gestisce Exchange in sede conosce bene questo film. ProxyLogon nel 2021 e ProxyNotShell nel 2022 hanno insegnato che i server di posta esposti sono tra i primi bersagli quando esce una falla, e che chi resta indietro con gli aggiornamenti resta indietro anche con le difese.
Verifica che il servizio di mitigazione sia attivo e che la regola per questa falla risulti applicata, per esempio con lo script Exchange Health Checker. Se i server non escono su Internet e quindi non ricevono nulla, applica la mitigazione a mano con lo strumento EOMT.ps1 indicato da Microsoft. Se la tua versione è troppo vecchia, aggiornala: senza aggiornamenti non arrivano neanche le mitigazioni.
Finché la patch non esce, valuta di spostare OWA dietro una VPN. Poi installala il giorno stesso in cui viene pubblicata.
