Zero-Day do Exchange CVE‑2026‑42897: O Que Administradores On‑Prem Precisam Fazer Agora

A Microsoft classifica o problema como uma vulnerabilidade de falsificação (spoofing), o que significa que os invasores podem manipular a interface ou o contexto da sessão do Outlook na Web.

Bancos de dados de segurança classificam o problema com alta severidade (CVSS 8.1), refletindo a capacidade de explorá-lo remotamente com pré-requisitos mínimos, além da interação do usuário.

Como o Ataque Via OWA Funciona

A cadeia de ataque depende de engenharia social e conteúdo malicioso em e-mails.

1. Um invasor envia um e-mail especialmente criado para a organização alvo.
2. A vítima abre a mensagem usando o Outlook na Web (OWA).
3. Devido ao tratamento inadequado de dados na interface do OWA, o conteúdo controlado pelo invasor é renderizado de forma a permitir a execução de JavaScript dentro da sessão do navegador da vítima.

Uma vez executado, o script roda no contexto da sessão autenticada do OWA. Dependendo do cenário, isso pode permitir que os invasores:

• Falsifiquem elementos da interface ou comunicações.
• Realizem ações dentro da sessão web do usuário.
• Potencialmente enviem ou manipulem dados no contexto da caixa de correio da vítima.

Os boletins públicos evitam publicar detalhes técnicos do exploit, mas relatórios de segurança confirmam que a falha já é explorada em ataques reais.

Versões do Exchange Afetadas

Os relatórios atuais identificam as seguintes versões do Exchange Server on-premises como afetadas:

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server Subscription Edition (SE)

Esses são produtos de servidor que as organizações instalam e gerenciam por conta própria, normalmente expondo o Outlook na Web para usuários internos ou acesso remoto.

Por Que o Exchange Online Não é Impactado

Os comunicados disponíveis descrevem consistentemente a vulnerabilidade como afetando instalações locais do Exchange Server, não o serviço de nuvem gerenciado pela Microsoft.

O Exchange Online se diferencia de duas maneiras importantes:

• A infraestrutura é operada e corrigida diretamente pela Microsoft.
• Os controles de segurança e atualizações são aplicados centralmente, não pelos clientes.

Por causa desse ambiente gerenciado, o problema é reportado como específico para servidores Exchange auto-hospedados e seus componentes OWA, não para a plataforma de nuvem Microsoft 365.

As Mitigações Temporárias da Microsoft

Até que um patch permanente seja lançado, a Microsoft publicou proteções temporárias por meio do Serviço de Mitigação de Emergência do Exchange (EEMS).

O EEMS pode implantar mitigações automaticamente em servidores Exchange compatíveis. Para a CVE‑2026‑42897, a Microsoft lançou uma mitigação automática identificada com IDs na faixa M2.1.x, que deve ser aplicada automaticamente em servidores onde o serviço está habilitado.

As organizações que usam o EEMS devem confirmar se a mitigação foi baixada e aplicada com sucesso.

Opções de Mitigação Manual

Nem todo ambiente usa ou permite mitigações automáticas. Por exemplo:

• Redes desconectadas ou isoladas (air-gapped)
• Ambientes onde o EEMS está desabilitado

Nesses casos, a Microsoft fornece um caminho de mitigação manual usando as ferramentas de mitigação do Exchange e procedimentos documentados para aplicar a mesma proteção sem o serviço automático.

Os administradores devem aplicar essas mitigações imediatamente se a implantação automática não estiver disponível.

Limitações para Servidores Antigos ou Sem Suporte

As mitigações entregues pelo EEMS são destinadas a builds do Exchange com suporte. Servidores que estão:

• Desatualizados
• Executando versões sem suporte
• Incapazes de acessar os endpoints de mitigação da Microsoft

podem não receber ou aplicar a mitigação de forma confiável.

Esses sistemas devem ser tratados como potencialmente expostos até que sejam atualizados, isolados ou protegidos de outra forma.

Nenhum Patch Permanente Confirmado Ainda

Até o momento dos comunicados públicos citados aqui, a Microsoft havia lançado mitigações, mas não uma atualização de segurança permanente para a CVE‑2026‑42897. As organizações devem monitorar os boletins oficiais de segurança da Microsoft e as orientações da equipe do Exchange para saber quando o patch estará disponível.

Por Que o Script Exchange Health Checker é Crítico Agora

Um risco fundamental com defesas baseadas em mitigação é presumir que estão ativas quando não estão.

A Microsoft recomenda usar o script Exchange Health Checker para verificar o status da mitigação em todos os servidores. O script pode relatar rapidamente:

• Se o Serviço de Mitigação de Emergência do Exchange está habilitado.
• Se as mitigações, como a M2.1.x, foram aplicadas.
• Problemas de configuração que impedem o download ou a ativação das mitigações.

Executar a ferramenta em todos os servidores Exchange ajuda a garantir que a organização esteja realmente protegida, em vez de confiar em uma configuração presumida.

Passos Imediatos para Administradores do Exchange

As organizações que executam o Exchange on-premises devem priorizar:

• Verificar se o EEMS está habilitado e funcionando.
• Confirmar se a mitigação M2.1.x para a CVE‑2026‑42897 foi aplicada.
• Executar o script Exchange Health Checker em todos os servidores.
• Aplicar a mitigação manual se a proteção automática não estiver disponível.
• Identificar servidores sem suporte ou desatualizados que talvez não recebam as mitigações.

Como a vulnerabilidade já está sob exploração ativa, as organizações com endpoints do Outlook na Web expostos devem tratar a verificação da mitigação como uma tarefa operacional urgente.