Dos incidentes de seguridad golpean a Microsoft Exchange en la misma semana
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente. El investigador Orange Tsai encadenó tres vulnerabilidades desconocidas para lograr ejecución remota de código con p...
Publicado porEditado con GPT-5.5Imágenes generadas con GPT Image 2
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente.
El investigador Orange Tsai encadenó tres vulnerabilidades desconocidas para lograr ejecución remota de código con privilegios SYSTEM en Exchange durante la competición Pwn2Own, ganando 200.000 dólares.
La vulnerabilidad CVE‑2026‑42897, un fallo XSS con puntuación CVSS de 8.1, ya estaba siendo explotada contra Outlook Web Access en servidores Exchange on‑premises.
How did Microsoft Exchange get hit by both a major Pwn2Own Berlin 2026 exploit and a separate actively exploited zero-day in the same week,Microsoft Exchange faced both a research exploit chain and an actively exploited zero‑day within the same week in May 2026.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: How did Microsoft Exchange get hit by both a major Pwn2Own Berlin 2026 exploit and a separate actively exploited zero-day in the same week,. Article summary: Microsoft Exchange was hit by two different events in the same week: a contest-disclosed Pwn2Own Berlin 2026 exploit chain against Exchange, and a separate real-world zero-day, CVE-2026-42897, that Microsoft said was alr. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "* Microsoft Exchange, Windows 11 hacked on second day of Pwn2Own. During the second day of Pwn2Own Berlin 2026, competitors collected $385,750 in cash awards after exploiting 15 u" source context "Microsoft Exchange, Windows 11 hacked on second day of Pwn2Own" Reference image 2: visual subject "# Micr
openai.com
Microsoft Exchange vivió una semana especialmente complicada en mayo de 2026. En un intervalo de aproximadamente 48 horas se revelaron dos problemas de seguridad importantes: por un lado, un potente exploit presentado durante el concurso de hacking Pwn2Own Berlín 2026; por otro, una vulnerabilidad independiente —CVE‑2026‑42897— que ya estaba siendo utilizada en ataques reales.
Aunque ambos incidentes no estaban relacionados entre sí, coincidieron en un punto clave: los servidores Microsoft Exchange instalados localmente (on‑premises) siguen siendo objetivos muy atractivos para los atacantes, especialmente cuando exponen servicios web como Outlook Web Access (OWA).
El exploit de Exchange en Pwn2Own Berlín 2026
Durante Pwn2Own Berlín 2026, una de las competiciones de hacking más conocidas del sector, investigadores demostraron ataques exitosos contra múltiples plataformas empresariales. Entre ellas estaba Microsoft Exchange.
El investigador Orange Tsai, del equipo DEVCORE, logró encadenar tres vulnerabilidades previamente desconocidas para conseguir ejecución remota de código (RCE) con privilegios SYSTEM en Exchange Server, lo que le valió un premio de 200.000 dólares.
Aspectos clave del ataque:
El exploit no dependía de una única vulnerabilidad, sino de una cadena de fallos combinados.
El resultado final fue ejecución con privilegios SYSTEM, el nivel más alto en Windows.
Los detalles técnicos , algo habitual en Pwn2Own para dar tiempo al proveedor a desarrollar parches.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Dos incidentes de seguridad golpean a Microsoft Exchange en la misma semana"?
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente.
¿Cuáles son los puntos clave a validar primero?
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente. El investigador Orange Tsai encadenó tres vulnerabilidades desconocidas para lograr ejecución remota de código con privilegios SYSTEM en Exchange durante la competición Pwn2Own, ganando 200.000 dólares.
¿Qué debo hacer a continuación en la práctica?
La vulnerabilidad CVE‑2026‑42897, un fallo XSS con puntuación CVSS de 8.1, ya estaba siendo explotada contra Outlook Web Access en servidores Exchange on‑premises.
Dos incidentes de seguridad golpean a Microsoft Exchange en la misma semana
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente. El investigador Orange Tsai encadenó tres vulnerabilidades desconocidas para lograr ejecución remota de código con p...
Publicado porEditado con GPT-5.5Imágenes generadas con GPT Image 2
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente.
El investigador Orange Tsai encadenó tres vulnerabilidades desconocidas para lograr ejecución remota de código con privilegios SYSTEM en Exchange durante la competición Pwn2Own, ganando 200.000 dólares.
La vulnerabilidad CVE‑2026‑42897, un fallo XSS con puntuación CVSS de 8.1, ya estaba siendo explotada contra Outlook Web Access en servidores Exchange on‑premises.
How did Microsoft Exchange get hit by both a major Pwn2Own Berlin 2026 exploit and a separate actively exploited zero-day in the same week,Microsoft Exchange faced both a research exploit chain and an actively exploited zero‑day within the same week in May 2026.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: How did Microsoft Exchange get hit by both a major Pwn2Own Berlin 2026 exploit and a separate actively exploited zero-day in the same week,. Article summary: Microsoft Exchange was hit by two different events in the same week: a contest-disclosed Pwn2Own Berlin 2026 exploit chain against Exchange, and a separate real-world zero-day, CVE-2026-42897, that Microsoft said was alr. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "* Microsoft Exchange, Windows 11 hacked on second day of Pwn2Own. During the second day of Pwn2Own Berlin 2026, competitors collected $385,750 in cash awards after exploiting 15 u" source context "Microsoft Exchange, Windows 11 hacked on second day of Pwn2Own" Reference image 2: visual subject "# Micr
openai.com
Microsoft Exchange vivió una semana especialmente complicada en mayo de 2026. En un intervalo de aproximadamente 48 horas se revelaron dos problemas de seguridad importantes: por un lado, un potente exploit presentado durante el concurso de hacking Pwn2Own Berlín 2026; por otro, una vulnerabilidad independiente —CVE‑2026‑42897— que ya estaba siendo utilizada en ataques reales.
Aunque ambos incidentes no estaban relacionados entre sí, coincidieron en un punto clave: los servidores Microsoft Exchange instalados localmente (on‑premises) siguen siendo objetivos muy atractivos para los atacantes, especialmente cuando exponen servicios web como Outlook Web Access (OWA).
El exploit de Exchange en Pwn2Own Berlín 2026
Durante Pwn2Own Berlín 2026, una de las competiciones de hacking más conocidas del sector, investigadores demostraron ataques exitosos contra múltiples plataformas empresariales. Entre ellas estaba Microsoft Exchange.
El investigador Orange Tsai, del equipo DEVCORE, logró encadenar tres vulnerabilidades previamente desconocidas para conseguir ejecución remota de código (RCE) con privilegios SYSTEM en Exchange Server, lo que le valió un premio de 200.000 dólares.
Aspectos clave del ataque:
El exploit no dependía de una única vulnerabilidad, sino de una cadena de fallos combinados.
El resultado final fue ejecución con privilegios SYSTEM, el nivel más alto en Windows.
Los detalles técnicos , algo habitual en Pwn2Own para dar tiempo al proveedor a desarrollar parches.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Dos incidentes de seguridad golpean a Microsoft Exchange en la misma semana"?
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente.
¿Cuáles son los puntos clave a validar primero?
En mayo de 2026, Microsoft Exchange sufrió dos incidentes de seguridad casi simultáneos: un exploit de ejecución remota demostrado en Pwn2Own Berlín y el zero‑day CVE‑2026‑42897 explotado activamente. El investigador Orange Tsai encadenó tres vulnerabilidades desconocidas para lograr ejecución remota de código con privilegios SYSTEM en Exchange durante la competición Pwn2Own, ganando 200.000 dólares.
¿Qué debo hacer a continuación en la práctica?
La vulnerabilidad CVE‑2026‑42897, un fallo XSS con puntuación CVSS de 8.1, ya estaba siendo explotada contra Outlook Web Access en servidores Exchange on‑premises.
Según las reglas del concurso, los ataques se realizan contra software completamente actualizado, lo que demuestra que incluso versiones recientes pueden contener vulnerabilidades aún no descubiertas.
Eso sí, no había evidencia de explotación real en Internet para esta cadena concreta en ese momento. El impacto principal fue demostrar que existían fallos todavía no parcheados en Exchange.
El zero‑day explotado activamente: CVE‑2026‑42897
Al mismo tiempo que se celebraba Pwn2Own, Microsoft alertó de un problema completamente distinto: una vulnerabilidad que ya estaba siendo explotada en ataques reales.
El fallo, identificado como CVE‑2026‑42897, es una vulnerabilidad de cross‑site scripting (XSS) causada por una neutralización incorrecta de entradas durante la generación de páginas web en Microsoft Exchange Server.
Este tipo de vulnerabilidad puede permitir suplantación o ejecución de scripts maliciosos a través de interfaces web como Outlook Web Access (OWA).
Según los informes de seguridad, un atacante podría enviar contenido especialmente manipulado que, al abrirse en OWA, ejecuta JavaScript en el navegador de la víctima.
Versiones afectadas
La vulnerabilidad afecta a implementaciones on‑premises de Exchange, incluyendo:
Exchange Server 2016
Exchange Server 2019
Exchange Server Subscription Edition (SE)
Microsoft confirmó que Exchange Online (Microsoft 365) no estaba afectado por este problema.
El fallo recibió una puntuación CVSS aproximada de 8.1 (alta gravedad) y fue añadido rápidamente al catálogo Known Exploited Vulnerabilities (KEV) de CISA, lo que confirma que ya estaba siendo utilizado en ataques reales.
Medidas de mitigación recomendadas por Microsoft
Debido a que la vulnerabilidad estaba siendo explotada antes de existir un parche definitivo, Microsoft publicó medidas de mitigación temporales.
La principal defensa se basa en el Exchange Emergency Mitigation Service (EEMS), un servicio que permite aplicar reglas de protección automáticamente en los servidores Exchange.
En el caso de CVE‑2026‑42897, el servicio implementó una mitigación mediante reglas URL Rewrite, destinadas a bloquear solicitudes maliciosas dirigidas al componente vulnerable.
Microsoft recomendó a los administradores:
Verificar que Exchange Emergency Mitigation Service esté activado.
Instalar la actualización de seguridad cuando se publique el parche definitivo.
Revisar logs de Exchange e IIS en busca de actividad sospechosa.
La reacción de CISA
La agencia estadounidense CISA (Cybersecurity and Infrastructure Security Agency) añadió rápidamente la vulnerabilidad al catálogo KEV.
Esto implica que las agencias civiles federales de EE. UU. deben remediarla dentro de los plazos establecidos por la directiva Binding Operational Directive 22‑01 (BOD 22‑01).
En la práctica, aparecer en el catálogo KEV indica que las organizaciones deben tratar la vulnerabilidad como una amenaza activa y prioritaria, no como un riesgo teórico.
Las medidas habituales incluyen:
Aplicar parches o mitigaciones del proveedor lo antes posible
Verificar si existen servicios expuestos a Internet
Aislar o retirar sistemas vulnerables si no hay mitigación disponible
Por qué estos incidentes son importantes para Exchange on‑premises
La coincidencia de ambos eventos en la misma semana ilustra por qué Exchange instalado localmente sigue siendo un objetivo frecuente en ciberataques.
Hay varios factores que influyen:
Exposición a Internet
Muchos despliegues de Exchange publican servicios como OWA en Internet, lo que amplía significativamente la superficie de ataque.
Acceso a información crítica
Comprometer un servidor Exchange puede dar acceso a correos electrónicos, credenciales, tokens de autenticación y, potencialmente, al dominio Windows completo de la organización.
Diversidad de vectores de ataque
Los dos incidentes de la semana mostraron extremos distintos del panorama de amenazas:
cadenas de vulnerabilidades complejas descubiertas por investigadores
fallos web explotables ya activos en campañas reales
Ventanas sin parche
El zero‑day demostró que los atacantes pueden explotar fallos antes de que existan correcciones, obligando a las organizaciones a depender de mitigaciones temporales y monitorización.
Conclusión
Lo ocurrido con Pwn2Own Berlín 2026 y el zero‑day CVE‑2026‑42897 refuerza una tendencia clara: los servidores Microsoft Exchange on‑premises siguen siendo uno de los puntos más sensibles de la infraestructura empresarial.
Mientras el exploit de Pwn2Own mostró lo que investigadores altamente especializados pueden lograr en condiciones controladas, la vulnerabilidad explotada activamente demostró la rapidez con la que los atacantes aprovechan fallos reales.
Para las organizaciones que aún operan Exchange en sus propios servidores, la conclusión es directa: reducir la exposición a Internet, mantener activas las mitigaciones automáticas y aplicar parches de seguridad tan pronto como estén disponibles.
securityaffairs.comCVE-2026-42897: Microsoft confirms active exploitation of ...
Según las reglas del concurso, los ataques se realizan contra software completamente actualizado, lo que demuestra que incluso versiones recientes pueden contener vulnerabilidades aún no descubiertas.
Eso sí, no había evidencia de explotación real en Internet para esta cadena concreta en ese momento. El impacto principal fue demostrar que existían fallos todavía no parcheados en Exchange.
El zero‑day explotado activamente: CVE‑2026‑42897
Al mismo tiempo que se celebraba Pwn2Own, Microsoft alertó de un problema completamente distinto: una vulnerabilidad que ya estaba siendo explotada en ataques reales.
El fallo, identificado como CVE‑2026‑42897, es una vulnerabilidad de cross‑site scripting (XSS) causada por una neutralización incorrecta de entradas durante la generación de páginas web en Microsoft Exchange Server.
Este tipo de vulnerabilidad puede permitir suplantación o ejecución de scripts maliciosos a través de interfaces web como Outlook Web Access (OWA).
Según los informes de seguridad, un atacante podría enviar contenido especialmente manipulado que, al abrirse en OWA, ejecuta JavaScript en el navegador de la víctima.
Versiones afectadas
La vulnerabilidad afecta a implementaciones on‑premises de Exchange, incluyendo:
Exchange Server 2016
Exchange Server 2019
Exchange Server Subscription Edition (SE)
Microsoft confirmó que Exchange Online (Microsoft 365) no estaba afectado por este problema.
El fallo recibió una puntuación CVSS aproximada de 8.1 (alta gravedad) y fue añadido rápidamente al catálogo Known Exploited Vulnerabilities (KEV) de CISA, lo que confirma que ya estaba siendo utilizado en ataques reales.
Medidas de mitigación recomendadas por Microsoft
Debido a que la vulnerabilidad estaba siendo explotada antes de existir un parche definitivo, Microsoft publicó medidas de mitigación temporales.
La principal defensa se basa en el Exchange Emergency Mitigation Service (EEMS), un servicio que permite aplicar reglas de protección automáticamente en los servidores Exchange.
En el caso de CVE‑2026‑42897, el servicio implementó una mitigación mediante reglas URL Rewrite, destinadas a bloquear solicitudes maliciosas dirigidas al componente vulnerable.
Microsoft recomendó a los administradores:
Verificar que Exchange Emergency Mitigation Service esté activado.
Instalar la actualización de seguridad cuando se publique el parche definitivo.
Revisar logs de Exchange e IIS en busca de actividad sospechosa.
La reacción de CISA
La agencia estadounidense CISA (Cybersecurity and Infrastructure Security Agency) añadió rápidamente la vulnerabilidad al catálogo KEV.
Esto implica que las agencias civiles federales de EE. UU. deben remediarla dentro de los plazos establecidos por la directiva Binding Operational Directive 22‑01 (BOD 22‑01).
En la práctica, aparecer en el catálogo KEV indica que las organizaciones deben tratar la vulnerabilidad como una amenaza activa y prioritaria, no como un riesgo teórico.
Las medidas habituales incluyen:
Aplicar parches o mitigaciones del proveedor lo antes posible
Verificar si existen servicios expuestos a Internet
Aislar o retirar sistemas vulnerables si no hay mitigación disponible
Por qué estos incidentes son importantes para Exchange on‑premises
La coincidencia de ambos eventos en la misma semana ilustra por qué Exchange instalado localmente sigue siendo un objetivo frecuente en ciberataques.
Hay varios factores que influyen:
Exposición a Internet
Muchos despliegues de Exchange publican servicios como OWA en Internet, lo que amplía significativamente la superficie de ataque.
Acceso a información crítica
Comprometer un servidor Exchange puede dar acceso a correos electrónicos, credenciales, tokens de autenticación y, potencialmente, al dominio Windows completo de la organización.
Diversidad de vectores de ataque
Los dos incidentes de la semana mostraron extremos distintos del panorama de amenazas:
cadenas de vulnerabilidades complejas descubiertas por investigadores
fallos web explotables ya activos en campañas reales
Ventanas sin parche
El zero‑day demostró que los atacantes pueden explotar fallos antes de que existan correcciones, obligando a las organizaciones a depender de mitigaciones temporales y monitorización.
Conclusión
Lo ocurrido con Pwn2Own Berlín 2026 y el zero‑day CVE‑2026‑42897 refuerza una tendencia clara: los servidores Microsoft Exchange on‑premises siguen siendo uno de los puntos más sensibles de la infraestructura empresarial.
Mientras el exploit de Pwn2Own mostró lo que investigadores altamente especializados pueden lograr en condiciones controladas, la vulnerabilidad explotada activamente demostró la rapidez con la que los atacantes aprovechan fallos reales.
Para las organizaciones que aún operan Exchange en sus propios servidores, la conclusión es directa: reducir la exposición a Internet, mantener activas las mitigaciones automáticas y aplicar parches de seguridad tan pronto como estén disponibles.
securityaffairs.comCVE-2026-42897: Microsoft confirms active exploitation of ...
