Exchange Zero‑Day CVE‑2026‑42897: ऑन‑प्रेम एडमिन्स के लिए ज़रूरी जानकारी

CVE‑2026‑42897 क्या है

यह कमजोरी वेब पेज बनाते समय इनपुट को सही तरीके से सुरक्षित न करने (improper neutralization of input during web page generation) से पैदा होती है—जो कि cross‑site scripting की एक सामान्य श्रेणी है।

Exchange Server के Outlook Web Access इंटरफेस में यह समस्या हमलावर को ऐसा कंटेंट इंजेक्ट करने देती है जो उपयोगकर्ता के ब्राउज़र में चल सकता है। Microsoft इसे spoofing vulnerability के रूप में वर्गीकृत करता है।

सुरक्षा डेटाबेस के अनुसार इसका CVSS स्कोर लगभग 8.1 (High severity) है, जिसका मतलब है कि नेटवर्क के माध्यम से इसका दुरुपयोग किया जा सकता है और केवल सीमित उपयोगकर्ता इंटरैक्शन की जरूरत होती है।

OWA हमला कैसे काम करता है

यह हमला आम तौर पर सोशल इंजीनियरिंग और ईमेल के जरिए शुरू होता है:

1. हमलावर लक्ष्य संगठन को एक विशेष रूप से तैयार किया गया ईमेल भेजता है।
2. उपयोगकर्ता उस ईमेल को Outlook on the web (OWA) में खोलता है।
3. OWA में इनपुट हैंडलिंग की कमजोरी के कारण ईमेल में मौजूद कंटेंट ऐसे रेंडर होता है कि JavaScript उपयोगकर्ता के ब्राउज़र सेशन में चल सकता है।

जब स्क्रिप्ट चलती है, तो वह उसी authenticated OWA सेशन के भीतर काम करती है। इससे हमलावर संभावित रूप से:

• इंटरफेस या संदेशों को स्पूफ कर सकते हैं
• उपयोगकर्ता के वेब सेशन के भीतर कुछ कार्रवाइयाँ कर सकते हैं
• मेलबॉक्स के संदर्भ में डेटा भेजने या बदलने जैसी गतिविधियाँ कर सकते हैं

सार्वजनिक सलाहों में जानबूझकर पूरा exploit कोड साझा नहीं किया गया है, लेकिन रिपोर्टें पुष्टि करती हैं कि यह कमजोरी वास्तविक हमलों में इस्तेमाल हो रही है।

कौन‑कौन से Exchange वर्ज़न प्रभावित हैं

रिपोर्ट के अनुसार निम्न on‑premises Exchange Server संस्करण प्रभावित हैं:

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server Subscription Edition (SE)

ये वे सर्वर संस्करण हैं जिन्हें संगठन स्वयं अपने डेटा सेंटर या निजी इंफ्रास्ट्रक्चर में चलाते और प्रबंधित करते हैं।

Exchange Online क्यों प्रभावित नहीं है

उपलब्ध सलाहों में बताया गया है कि यह समस्या मुख्य रूप से self‑hosted Exchange Server इंस्टॉलेशन से जुड़ी है, न कि Microsoft द्वारा संचालित क्लाउड सेवा से।

Exchange Online में दो मुख्य अंतर होते हैं:

• इंफ्रास्ट्रक्चर और पैचिंग सीधे Microsoft द्वारा नियंत्रित होती है
• सुरक्षा अपडेट ग्राहकों के बजाय सेवा स्तर पर लागू किए जाते हैं

इसी वजह से उपलब्ध रिपोर्टों में यह कमजोरी Microsoft 365 के Exchange Online पर लागू नहीं बताई गई है, बल्कि केवल ऑन‑प्रेम सर्वरों के OWA कंपोनेंट से जुड़ी है।

Microsoft के अस्थायी Mitigations

स्थायी पैच आने तक Microsoft ने Exchange Emergency Mitigation Service (EEMS) के माध्यम से अस्थायी सुरक्षा उपाय जारी किए हैं।

EEMS समर्थित Exchange सर्वरों पर स्वतः mitigation लागू कर सकता है। CVE‑2026‑42897 के लिए जारी mitigation का पहचान कोड M2.1.x श्रृंखला में बताया गया है।

एडमिन्स को यह सुनिश्चित करना चाहिए कि यह mitigation उनके सर्वरों पर सफलतापूर्वक डाउनलोड और लागू हो चुका है।

मैनुअल Mitigation कैसे लागू करें

कुछ संगठनों में स्वचालित mitigation सक्षम नहीं होता, उदाहरण के लिए:

• air‑gapped नेटवर्क
• इंटरनेट से कटे हुए सर्वर
• सुरक्षा कारणों से EEMS बंद होना

ऐसे मामलों में Microsoft ने Exchange mitigation tools के जरिए वही सुरक्षा उपाय मैनुअल तरीके से लागू करने की प्रक्रिया उपलब्ध कराई है।

यदि ऑटोमैटिक डिप्लॉयमेंट संभव नहीं है, तो एडमिन्स को तुरंत मैनुअल mitigation लागू करना चाहिए।

पुराने या unsupported सर्वरों की सीमाएँ

EEMS से मिलने वाले mitigation मुख्य रूप से supported Exchange builds के लिए बनाए गए हैं। इसलिए निम्न प्रकार के सर्वर जोखिम में रह सकते हैं:

• बहुत पुराने या outdated सिस्टम
• unsupported Exchange versions
• वे सर्वर जो Microsoft endpoints से कनेक्ट नहीं हो सकते

ऐसे सर्वरों को तब तक संभावित रूप से एक्सपोज़्ड माना जाना चाहिए जब तक उन्हें अपडेट, आइसोलेट या सुरक्षित तरीके से कॉन्फ़िगर न किया जाए।

स्थायी पैच कब आएगा

उपलब्ध सलाहों के समय तक Microsoft ने स्थायी सुरक्षा अपडेट जारी नहीं किया था और केवल mitigations उपलब्ध थे। संगठनों को MSRC और Exchange Team की आधिकारिक घोषणाओं पर नज़र रखनी चाहिए ताकि पैच जारी होते ही उसे लागू किया जा सके।

Exchange Health Checker अभी क्यों महत्वपूर्ण है

Mitigation‑आधारित सुरक्षा में सबसे बड़ा जोखिम यह मान लेना होता है कि सुरक्षा लागू हो चुकी है जबकि वास्तव में ऐसा नहीं होता।

Microsoft एडमिन्स को Exchange Health Checker script चलाने की सलाह देता है, जिससे जल्दी पता चल सकता है:

• EEMS सक्षम है या नहीं
• M2.1.x mitigation लागू हुआ है या नहीं
• कोई कॉन्फ़िगरेशन समस्या तो नहीं जो mitigation डाउनलोड या लागू होने से रोक रही हो

सभी Exchange सर्वरों पर यह स्क्रिप्ट चलाने से यह सुनिश्चित होता है कि संगठन वास्तव में सुरक्षित है।

Exchange एडमिन्स के लिए तुरंत उठाने वाले कदम

यदि आपका संगठन ऑन‑प्रेम Exchange चला रहा है, तो प्राथमिकता के साथ ये कदम उठाएँ:

• सुनिश्चित करें कि EEMS सक्षम और कार्यरत है
• जाँचें कि CVE‑2026‑42897 के लिए M2.1.x mitigation लागू है
• सभी सर्वरों पर Exchange Health Checker script चलाएँ
• यदि ऑटोमैटिक सुरक्षा उपलब्ध नहीं है तो मैनुअल mitigation लागू करें
• पुराने या unsupported सर्वरों की पहचान कर उन्हें अपडेट या आइसोलेट करें

क्योंकि इस कमजोरी का पहले से सक्रिय रूप से दुरुपयोग हो रहा है, इसलिए जिन संगठनों का Outlook on the web इंटरनेट पर एक्सपोज़ है, उन्हें mitigation सत्यापन को तत्काल प्राथमिकता देनी चाहिए।