Lỗ hổng Zero-Day Exchange CVE-2026-42897: Hướng dẫn khẩn cho quản trị viên

Microsoft phân loại vấn đề này là lỗ hổng giả mạo (spoofing), nghĩa là kẻ tấn công có thể thao túng giao diện người dùng hoặc ngữ cảnh phiên làm việc của Outlook on the web.

Các cơ sở dữ liệu theo dõi bảo mật đánh giá lỗ hổng này ở mức nghiêm trọng cao (CVSS 8.1), phản ánh khả năng khai thác từ xa với ít điều kiện tiên quyết ngoài thao tác của người dùng.

Cơ chế tấn công qua OWA

Chuỗi tấn công dựa vào kỹ thuật lừa đảo xã hội (social engineering) và nội dung email độc hại.

1. Kẻ tấn công gửi một email được chế tạo đặc biệt đến mục tiêu.
2. Nạn nhân mở email đó bằng Outlook on the web (OWA).
3. Do xử lý dữ liệu đầu vào không an toàn trên giao diện OWA, nội dung do kẻ tấn công kiểm soát được hiển thị theo cách cho phép thực thi mã JavaScript trong phiên trình duyệt của nạn nhân.

Sau khi thực thi, đoạn mã chạy trong ngữ cảnh của phiên OWA đã xác thực. Tùy vào kịch bản, kẻ tấn công có thể:

• Giả mạo các thành phần giao diện hoặc thông tin liên lạc.
• Thực hiện các hành động trong phiên web của người dùng.
• Có khả năng gửi hoặc thao túng dữ liệu trong ngữ cảnh hộp thư của nạn nhân.

Các khuyến cáo công khai cố ý tránh công bố mã khai thác chi tiết, nhưng các báo cáo bảo mật xác nhận lỗ hổng đang bị khai thác trong các cuộc tấn công thực tế.

Các phiên bản Exchange bị ảnh hưởng

Các báo cáo hiện tại xác định những phiên bản Exchange Server nội bộ sau đây bị ảnh hưởng:

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server Subscription Edition (SE)

Đây là các sản phẩm máy chủ mà tổ chức tự triển khai và quản lý, thường xuyên cho phép người dùng nội bộ hoặc truy cập từ xa qua Outlook on the web.

Vì sao Exchange Online không bị ảnh hưởng

Các khuyến cáo hiện tại đều mô tả lỗ hổng này ảnh hưởng đến các bản cài đặt Exchange Server nội bộ, không phải dịch vụ đám mây do Microsoft quản lý.

Exchange Online khác biệt ở hai điểm quan trọng:

• Hạ tầng do chính Microsoft vận hành và vá lỗi trực tiếp.
• Các biện pháp kiểm soát bảo mật và cập nhật dịch vụ được áp dụng tập trung, thay vì do khách hàng tự thực hiện.

Nhờ vào môi trường được quản lý này, vấn đề được báo cáo là chỉ dành riêng cho các máy chủ Exchange tự lưu trữ và thành phần OWA của chúng, không phải nền tảng đám mây Microsoft 365.

Biện pháp giảm thiểu tạm thời từ Microsoft

Trong khi chờ bản vá chính thức, Microsoft đã công bố các biện pháp bảo vệ tạm thời thông qua Dịch vụ Giảm thiểu Khẩn cấp Exchange (Exchange Emergency Mitigation Service - EEMS).

EEMS có thể tự động triển khai các biện pháp giảm thiểu đến các máy chủ Exchange được hỗ trợ. Đối với CVE-2026-42897, Microsoft đã phát hành biện pháp giảm thiểu tự động được xác định bằng ID trong phạm vi M2.1.x, sẽ tự động áp dụng trên các máy chủ đã kích hoạt dịch vụ này.

Các tổ chức sử dụng EEMS nên xác nhận biện pháp giảm thiểu đã được tải xuống và áp dụng thành công.

Tùy chọn giảm thiểu thủ công

Không phải môi trường nào cũng sử dụng hoặc cho phép giảm thiểu tự động. Ví dụ:

• Mạng biệt lập hoặc không kết nối Internet (air-gapped).
• Môi trường đã tắt EEMS.

Trong những trường hợp đó, Microsoft cung cấp lộ trình giảm thiểu thủ công bằng cách sử dụng các công cụ giảm thiểu Exchange và quy trình được ghi lại để áp dụng biện pháp bảo vệ tương tự mà không cần dịch vụ tự động.

Quản trị viên nên áp dụng các biện pháp này ngay lập tức nếu không thể triển khai tự động.

Hạn chế đối với máy chủ cũ hoặc không được hỗ trợ

Các biện pháp giảm thiểu được phân phối qua EEMS được thiết kế cho các bản dựng Exchange được hỗ trợ. Các máy chủ:

• Lỗi thời
• Đang chạy phiên bản không được hỗ trợ
• Không thể kết nối đến điểm cuối giảm thiểu của Microsoft

có thể không nhận được hoặc áp dụng biện pháp giảm thiểu một cách đáng tin cậy.

Các hệ thống như vậy nên được coi là có khả năng bị lộ diện cho đến khi được nâng cấp, cô lập hoặc bảo vệ bằng cách khác.

Chưa có bản vá chính thức

Tại thời điểm các khuyến cáo công khai được trích dẫn, Microsoft đã phát hành các biện pháp giảm thiểu nhưng chưa có bản cập nhật bảo mật chính thức cho CVE-2026-42897. Các tổ chức nên theo dõi các khuyến cáo bảo mật chính thức của Microsoft và hướng dẫn từ Nhóm Exchange để biết khi nào có bản vá.

Tầm quan trọng của Exchange Health Checker Script

Một rủi ro chính khi dựa vào các biện pháp phòng thủ giảm thiểu là cho rằng chúng đang hoạt động trong khi thực tế thì không.

Microsoft khuyến nghị sử dụng Exchange Health Checker script để xác minh trạng thái giảm thiểu trên tất cả các máy chủ. Tập lệnh có thể nhanh chóng báo cáo:

• Dịch vụ Exchange Emergency Mitigation có đang được kích hoạt hay không.
• Liệu các biện pháp giảm thiểu như M2.1.x đã được áp dụng chưa.
• Các vấn đề cấu hình ngăn việc tải xuống hoặc kích hoạt biện pháp giảm thiểu.

Chạy công cụ này trên tất cả các máy chủ Exchange giúp đảm bảo tổ chức thực sự được bảo vệ, thay vì chỉ dựa vào cấu hình giả định.

Các bước khẩn cấp cho quản trị viên Exchange

Các tổ chức đang vận hành Exchange nội bộ nên ưu tiên:

• Xác minh EEMS đã được kích hoạt và hoạt động bình thường.
• Xác nhận biện pháp giảm thiểu M2.1.x cho CVE-2026-42897 đã được áp dụng.
• Chạy Exchange Health Checker script trên tất cả các máy chủ.
• Áp dụng biện pháp giảm thiểu thủ công nếu không có sẵn bảo vệ tự động.
• Xác định các máy chủ lỗi thời hoặc không được hỗ trợ có thể không nhận được biện pháp giảm thiểu.

Vì lỗ hổng đang bị khai thác tích cực, các tổ chức có điểm cuối Outlook on the web bị lộ diện nên coi việc xác minh giảm thiểu là một nhiệm vụ vận hành khẩn cấp.