Microsoft Exchange enfrenta dois grandes incidentes de segurança na mesma semana

Os testes da competição são realizados em sistemas totalmente atualizados, conforme as regras do evento. Isso significa que o ataque demonstrou que mesmo versões atualizadas do Exchange ainda podem conter falhas desconhecidas.

Até o momento da demonstração, não havia evidências de exploração desse exploit específico no mundo real.

Zero‑day explorado: CVE‑2026‑42897

Quase ao mesmo tempo, a Microsoft alertou sobre outra vulnerabilidade — desta vez já sendo explorada em ataques reais.

A falha, registrada como CVE‑2026‑42897, é uma vulnerabilidade de cross‑site scripting (XSS) causada por neutralização inadequada de entrada durante a geração de páginas web no Exchange Server.

Na prática, o problema pode permitir que um invasor execute scripts maliciosos no navegador de uma vítima ao interagir com interfaces web do Exchange, como o Outlook Web Access (OWA).

Em cenários relatados por pesquisadores, o ataque poderia ocorrer quando um usuário abre conteúdo especialmente criado dentro do OWA, executando JavaScript malicioso no navegador da vítima.

A vulnerabilidade recebeu pontuação CVSS de aproximadamente 8,1, classificada como severidade alta.

Versões afetadas

O problema impacta apenas instalações locais do Exchange, incluindo:

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition (SE)

Segundo a Microsoft, Exchange Online (Microsoft 365) não foi afetado por essa vulnerabilidade.

Mitigações recomendadas pela Microsoft

Como o zero‑day estava sendo explorado antes da disponibilidade de uma correção definitiva, a Microsoft divulgou mitigações temporárias.

A principal defesa recomendada envolve o Exchange Emergency Mitigation Service (EEMS), um serviço que aplica automaticamente regras de proteção nos servidores Exchange.

Para o CVE‑2026‑42897, a mitigação foi implementada por meio de regras de URL Rewrite, que bloqueiam requisições maliciosas direcionadas ao componente vulnerável.

Administradores foram orientados a:

• garantir que o Exchange Emergency Mitigation Service esteja ativado;
• aplicar atualizações de segurança oficiais assim que disponíveis;
• monitorar logs do Exchange e do IIS em busca de atividades suspeitas.

Inclusão no catálogo KEV da CISA

A vulnerabilidade também foi adicionada rapidamente ao Known Exploited Vulnerabilities (KEV) da agência americana CISA, que lista falhas comprovadamente exploradas em ataques reais.

Para órgãos federais civis dos EUA, isso ativa obrigações formais de correção conforme a diretriz Binding Operational Directive 22‑01.

Mesmo fora do setor público americano, a inclusão no KEV é geralmente interpretada como um alerta de risco operacional urgente.

Por que isso é relevante para quem usa Exchange on‑premises

Os dois eventos da mesma semana mostram dois lados diferentes do cenário de ameaças contra o Exchange.

Primeiro, pesquisadores altamente qualificados demonstraram que cadeias complexas de vulnerabilidades ainda podem comprometer o sistema. Segundo, atacantes já estavam explorando um zero‑day real contra servidores expostos.

Alguns fatores explicam por que o Exchange continua sendo um alvo frequente:

Exposição à internet
Ambientes Exchange frequentemente expõem serviços como OWA diretamente na internet, ampliando a superfície de ataque.

Alto valor para invasores
Comprometer o Exchange pode fornecer acesso a e‑mails corporativos, tokens de autenticação e até ao domínio Windows da organização.

Diversidade de vetores de ataque
Na mesma semana apareceram tanto:

• cadeias sofisticadas de múltiplas vulnerabilidades
• falhas web exploradas diretamente em ataques reais

Janela entre descoberta e patch
O caso do zero‑day mostra como invasores podem explorar vulnerabilidades antes da liberação de correções oficiais, forçando organizações a depender de mitigacões temporárias.

Conclusão

Os eventos envolvendo o Pwn2Own Berlin 2026 e o CVE‑2026‑42897 reforçam um padrão que já preocupa equipes de segurança há anos: servidores Exchange on‑premises continuam sendo um dos pontos mais sensíveis da infraestrutura corporativa.

Enquanto o exploit demonstrado no Pwn2Own mostra o potencial de ataques altamente sofisticados, o zero‑day ativo prova que vulnerabilidades reais podem ser exploradas rapidamente quando surgem.

Para organizações que ainda operam Exchange localmente, a recomendação prática é clara: reduzir exposição direta à internet, manter serviços de mitigação ativos e aplicar atualizações de segurança imediatamente quando disponíveis.