Важно, что на момент демонстрации не было подтверждений эксплуатации этой цепочки в реальных атаках. Однако сам факт её существования показал наличие ещё не исправленных уязвимостей в Exchange.
Почти одновременно Microsoft предупредила о другой проблеме — уязвимости CVE‑2026‑42897, которая уже применялась злоумышленниками.
Это уязвимость типа cross‑site scripting (XSS), возникающая из‑за неправильной обработки входных данных при генерации веб‑страниц в Microsoft Exchange Server. Она позволяет злоумышленнику выполнять поддельные действия или запускать вредоносный JavaScript через веб‑интерфейсы, включая Outlook Web Access.
Сценарий атаки обычно выглядит так:
Проблема затрагивает локальные установки Microsoft Exchange, включая:
После подтверждения эксплуатации в реальных атаках уязвимость была добавлена в каталог CISA Known Exploited Vulnerabilities (KEV).
Поскольку атаки начались ещё до выхода полноценного исправления, Microsoft выпустила временные меры смягчения риска.
Ключевой механизм — Exchange Emergency Mitigation Service (EEMS). Эта служба может автоматически применять защитные правила на сервере.
Для CVE‑2026‑42897 она внедряет правило URL Rewrite, которое блокирует вредоносные запросы к уязвимому компоненту.
Администраторам Exchange рекомендовано:
Агентство CISA (Cybersecurity and Infrastructure Security Agency) добавило CVE‑2026‑42897 в свой каталог Known Exploited Vulnerabilities.
Это означает, что для федеральных гражданских ведомств США действует обязательное требование устранить проблему согласно директиве Binding Operational Directive 22‑01.
На практике включение уязвимости в KEV означает, что организации должны рассматривать её как срочную операционную угрозу, а не теоретический риск.
Типичные шаги реагирования включают:
Два инцидента в течение одной недели хорошо показывают, почему on‑prem Exchange остаётся одним из самых привлекательных объектов для атак.
Ключевые причины:
1. Доступность из интернета
Exchange часто публикуется в сети через OWA и связанные сервисы, что увеличивает поверхность атаки.
2. Высокая ценность компрометации
Взлом Exchange может открыть доступ к электронной почте, токенам аутентификации и иногда к инфраструктуре Windows‑домена.
3. Разные типы угроз
События той недели показали два полюса атак:
4. Разрыв между обнаружением и исправлением
Zero‑day CVE‑2026‑42897 продемонстрировал ситуацию, когда атаки начинаются до выхода патча, и организациям приходится полагаться на временные меры защиты и мониторинг.
История с Pwn2Own Berlin 2026 и уязвимостью CVE‑2026‑42897 вновь показала устойчивую тенденцию: локальные серверы Microsoft Exchange остаются критически важной точкой риска для многих организаций.
Демонстрация на Pwn2Own показала, насколько мощными могут быть исследовательские цепочки эксплойтов, а активно используемый zero‑day напомнил, как быстро реальные атакующие начинают использовать найденные уязвимости.
Для компаний, которые продолжают использовать on‑prem Exchange, практический вывод очевиден: минимизировать публикацию сервисов в интернет, держать включёнными механизмы автоматической защиты и устанавливать обновления безопасности сразу после их выхода.
Comments
0 comments