Deux incidents de sécurité majeurs frappent Microsoft Exchange en quelques jours

Microsoft Exchange a traversé une semaine particulièrement difficile en mai 2026. En l’espace d’environ 48 heures, deux événements de sécurité distincts ont attiré l’attention des équipes de cybersécurité : une chaîne d’exploits présentée lors du concours Pwn2Own Berlin 2026, et une vulnérabilité zero‑day différente — CVE‑2026‑42897 — déjà utilisée dans des attaques réelles.

Ces deux incidents ne sont pas liés entre eux. Mais ils mettent en évidence un point commun : les serveurs Microsoft Exchange déployés sur site (on‑premises) restent des cibles de grande valeur pour les attaquants, en particulier lorsqu’ils exposent des interfaces web comme Outlook Web Access (OWA).

Démonstration d’un exploit Exchange au Pwn2Own Berlin 2026

Le concours international de hacking Pwn2Own, organisé lors de la conférence OffensiveCon à Berlin, récompense les chercheurs qui démontrent des exploits contre des logiciels populaires exécutés dans leur configuration la plus récente et entièrement mise à jour.

Lors de l’édition 2026, le chercheur Orange Tsai de l’équipe DEVCORE a réussi une démonstration spectaculaire : il a enchaîné trois vulnérabilités inédites pour obtenir une exécution de code à distance avec les privilèges SYSTEM sur un serveur Microsoft Exchange.

Points clés de cette attaque :

• Elle reposait sur une chaîne de plusieurs failles, et non sur une seule vulnérabilité.
• L’exploit permettait une exécution au niveau SYSTEM, soit le niveau de privilèges le plus élevé sous Windows.
• La démonstration a rapporté 200 000 dollars de récompense au chercheur.

Comme c’est la règle dans ce type de compétition, les détails techniques n’ont pas été rendus publics immédiatement afin de laisser à Microsoft le temps de développer et publier des correctifs.

Il est également important de noter qu’au moment de la démonstration, aucune exploitation active de cette chaîne d’attaques dans le monde réel n’avait été signalée.

Le zero‑day exploité : CVE‑2026‑42897

Parallèlement, Microsoft a confirmé l’existence d’une vulnérabilité distincte déjà exploitée dans des attaques réelles.

La faille CVE‑2026‑42897 est une vulnérabilité de type cross‑site scripting (XSS) due à une mauvaise neutralisation des entrées lors de la génération de pages web dans Microsoft Exchange Server.

Elle peut permettre à un attaquant d’exécuter du JavaScript malveillant dans le navigateur de la victime, notamment via des interfaces web comme Outlook Web Access.

Un scénario d’attaque typique consiste à envoyer un contenu spécialement conçu — par exemple un email — qui, une fois ouvert dans OWA, déclenche l’exécution du script dans la session du navigateur de l’utilisateur.

La vulnérabilité possède un score CVSS d’environ 8,1 (gravité élevée).

Versions concernées

La faille affecte uniquement les déploiements Exchange sur site, notamment :

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition (SE)

Selon Microsoft, Exchange Online (Microsoft 365) n’est pas concerné.

La vulnérabilité a également été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de la CISA, confirmant son exploitation dans des attaques réelles.

Les mesures d’atténuation recommandées par Microsoft

Comme la vulnérabilité était exploitée avant la publication d’un correctif définitif, Microsoft a publié des mesures d’atténuation temporaires.

La principale repose sur le Exchange Emergency Mitigation Service (EEMS), un service intégré capable d’appliquer automatiquement des règles de protection aux serveurs Exchange.

Pour CVE‑2026‑42897, Microsoft a déployé une mitigation basée sur des règles URL Rewrite, destinées à bloquer les requêtes malveillantes ciblant le composant vulnérable.

Les administrateurs sont invités à :

• vérifier que Exchange Emergency Mitigation Service est activé ;
• appliquer le correctif de sécurité dès sa publication ;
• analyser les journaux Exchange et IIS pour détecter toute activité suspecte.

L’intervention de la CISA

La Cybersecurity and Infrastructure Security Agency (CISA) américaine a rapidement ajouté la vulnérabilité au catalogue KEV, qui recense les failles confirmées comme exploitées par des attaquants.

Pour les agences fédérales civiles américaines, cela déclenche l’obligation de corriger la vulnérabilité conformément à la directive Binding Operational Directive 22‑01.

Dans la pratique, cette classification signifie que les organisations doivent considérer la faille comme un risque opérationnel immédiat, et non comme une vulnérabilité théorique.

Les mesures généralement attendues incluent :

• appliquer immédiatement les correctifs ou mesures d’atténuation du fournisseur ;
• vérifier l’exposition des services accessibles depuis Internet ;
• isoler ou retirer les systèmes vulnérables si aucune mitigation n’est disponible.

Pourquoi ces incidents préoccupent les organisations

Pris ensemble, ces deux événements illustrent pourquoi Exchange sur site reste une cible privilégiée pour les attaquants.

Plusieurs facteurs expliquent ce risque persistant.

Exposition directe à Internet
De nombreux environnements exposent Outlook Web Access et d’autres services Exchange directement sur Internet, ce qui élargit fortement la surface d’attaque.

Accès à des données critiques
Compromettre Exchange peut permettre d’accéder aux emails, aux jetons d’authentification et parfois à l’ensemble du domaine Windows de l’entreprise.

Multiplicité des vecteurs d’attaque
La même semaine a illustré deux scénarios très différents :

• des chaînes d’exploits sophistiquées découvertes par des chercheurs
• des failles web plus simples déjà exploitées dans la nature

Fenêtres de correction limitées
Le zero‑day montre aussi qu’une vulnérabilité peut être exploitée avant la disponibilité d’un correctif, obligeant les équipes à s’appuyer temporairement sur des mitigations et de la surveillance.

À retenir

Les événements liés à Pwn2Own Berlin 2026 et à CVE‑2026‑42897 rappellent une réalité persistante : les serveurs Microsoft Exchange déployés sur site restent un point d’exposition critique pour de nombreuses organisations.

La démonstration au Pwn2Own a montré ce que des chercheurs très qualifiés peuvent accomplir dans un environnement contrôlé. Le zero‑day exploité a, lui, illustré la rapidité avec laquelle des attaquants peuvent exploiter une vulnérabilité réelle.

Pour les entreprises qui utilisent encore Exchange sur site, les priorités restent claires : réduire l’exposition Internet, maintenir les mécanismes de mitigation actifs et appliquer les mises à jour de sécurité dès qu’elles sont disponibles.