比赛还要求目标软件运行 最新可用版本，这意味着研究人员是在最新补丁环境下完成攻击的。

需要注意的是，当时 没有证据表明这一漏洞链已被攻击者在真实环境中利用。它更多反映的是：Exchange 中仍存在尚未披露的潜在漏洞，需要厂商后续修补。

正在被利用的零日漏洞：CVE‑2026‑42897

几乎在同一时间，微软发布安全警告，确认另一漏洞已经在真实攻击中出现。

该漏洞编号 CVE‑2026‑42897，属于 输入未正确过滤导致的跨站脚本（XSS）漏洞，影响 Microsoft Exchange Server 的 Web 页面生成过程。

攻击者可以通过构造恶意内容，使 JavaScript 在用户浏览器中执行，尤其是在使用 Outlook Web Access（OWA） 时触发。

例如：攻击者可能发送带有特制内容的邮件，当受害者通过 OWA 查看时，恶意脚本便会在浏览器中运行。

受影响版本

该漏洞影响 本地部署的 Exchange Server：

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition（SE）

微软表示 Exchange Online（云端版）不受影响。

该漏洞的 CVSS 评分约为 8.1（高危），并迅速被纳入 CISA 的 Known Exploited Vulnerabilities（KEV）目录，表明已经确认存在真实攻击。

微软提供的临时缓解措施

由于漏洞在补丁发布前就已被利用，微软先提供了 临时缓解措施（mitigation）。

核心机制是 Exchange Emergency Mitigation Service（EEMS） —— Exchange 的自动防护服务。

针对 CVE‑2026‑42897，EEMS 会自动部署一条 URL Rewrite 规则，用于阻断针对漏洞组件的恶意请求。

微软建议管理员立即：

• 确认 Exchange Emergency Mitigation Service 已启用。
• 在发布正式补丁后 第一时间安装安全更新。
• 检查 Exchange 与 IIS 日志，寻找异常访问或可疑脚本活动。

CISA 的应对：列入 KEV 目录

美国网络安全和基础设施安全局（CISA）很快将该漏洞加入 已知被利用漏洞目录（KEV）。

这意味着美国联邦机构必须根据 BOD 22‑01 指令 在规定期限内完成修复或缓解。

在安全行业中，被加入 KEV 通常被视为一个明确信号：

• 这是 现实威胁，而非理论风险。
• 企业应立即评估并修复。

常见处置措施包括：

• 立刻应用厂商补丁或缓解措施
• 检查是否存在互联网暴露的服务
• 如果无法缓解，临时下线或隔离系统

为什么本地 Exchange 仍然是高风险目标

这两起事件发生在同一周，但实际上代表了两种不同类型的威胁：

• 顶级研究人员发现的 复杂漏洞链
• 攻击者已经在现实中利用的 Web 漏洞

对于仍运行本地 Exchange 的组织而言，这些事件再次说明了几个长期存在的风险：

1. 互联网暴露面大
许多组织将 Outlook Web Access 等服务直接暴露到互联网，增加了攻击面。

2. 权限价值极高
一旦攻破 Exchange，攻击者往往能访问邮件数据、身份令牌，甚至进一步进入整个 Windows 域环境。

3. 攻击路径多样
同一周同时出现：

• 高级漏洞链攻击
• 简单但可大规模利用的 Web 漏洞

4. 补丁窗口问题
零日漏洞意味着攻击发生时 补丁尚未发布，组织只能依赖临时缓解和监控。

关键结论

Pwn2Own Berlin 2026 的漏洞链演示，以及正在被利用的 CVE‑2026‑42897，再次提醒企业：

本地部署的 Exchange 服务器仍然是企业安全体系中的高风险节点。

Pwn2Own 展示了顶级研究人员在受控环境中可以做到什么，而零日漏洞则证明攻击者在真实世界中的行动速度同样惊人。

对于仍在运行本地 Exchange 的组织来说，现实的安全策略包括：减少互联网暴露、启用自动缓解服务、并在补丁发布后尽快完成更新。

比赛还要求目标软件运行 最新可用版本，这意味着研究人员是在最新补丁环境下完成攻击的。

需要注意的是，当时 没有证据表明这一漏洞链已被攻击者在真实环境中利用。它更多反映的是：Exchange 中仍存在尚未披露的潜在漏洞，需要厂商后续修补。

正在被利用的零日漏洞：CVE‑2026‑42897

几乎在同一时间，微软发布安全警告，确认另一漏洞已经在真实攻击中出现。

该漏洞编号 CVE‑2026‑42897，属于 输入未正确过滤导致的跨站脚本（XSS）漏洞，影响 Microsoft Exchange Server 的 Web 页面生成过程。

攻击者可以通过构造恶意内容，使 JavaScript 在用户浏览器中执行，尤其是在使用 Outlook Web Access（OWA） 时触发。

例如：攻击者可能发送带有特制内容的邮件，当受害者通过 OWA 查看时，恶意脚本便会在浏览器中运行。

受影响版本

该漏洞影响 本地部署的 Exchange Server：

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition（SE）

微软表示 Exchange Online（云端版）不受影响。

该漏洞的 CVSS 评分约为 8.1（高危），并迅速被纳入 CISA 的 Known Exploited Vulnerabilities（KEV）目录，表明已经确认存在真实攻击。

微软提供的临时缓解措施

由于漏洞在补丁发布前就已被利用，微软先提供了 临时缓解措施（mitigation）。

核心机制是 Exchange Emergency Mitigation Service（EEMS） —— Exchange 的自动防护服务。

针对 CVE‑2026‑42897，EEMS 会自动部署一条 URL Rewrite 规则，用于阻断针对漏洞组件的恶意请求。

微软建议管理员立即：

• 确认 Exchange Emergency Mitigation Service 已启用。
• 在发布正式补丁后 第一时间安装安全更新。
• 检查 Exchange 与 IIS 日志，寻找异常访问或可疑脚本活动。

CISA 的应对：列入 KEV 目录

美国网络安全和基础设施安全局（CISA）很快将该漏洞加入 已知被利用漏洞目录（KEV）。

这意味着美国联邦机构必须根据 BOD 22‑01 指令 在规定期限内完成修复或缓解。

在安全行业中，被加入 KEV 通常被视为一个明确信号：

• 这是 现实威胁，而非理论风险。
• 企业应立即评估并修复。

常见处置措施包括：

• 立刻应用厂商补丁或缓解措施
• 检查是否存在互联网暴露的服务
• 如果无法缓解，临时下线或隔离系统

为什么本地 Exchange 仍然是高风险目标

这两起事件发生在同一周，但实际上代表了两种不同类型的威胁：

• 顶级研究人员发现的 复杂漏洞链
• 攻击者已经在现实中利用的 Web 漏洞

对于仍运行本地 Exchange 的组织而言，这些事件再次说明了几个长期存在的风险：

1. 互联网暴露面大
许多组织将 Outlook Web Access 等服务直接暴露到互联网，增加了攻击面。

2. 权限价值极高
一旦攻破 Exchange，攻击者往往能访问邮件数据、身份令牌，甚至进一步进入整个 Windows 域环境。

3. 攻击路径多样
同一周同时出现：

• 高级漏洞链攻击
• 简单但可大规模利用的 Web 漏洞

4. 补丁窗口问题
零日漏洞意味着攻击发生时 补丁尚未发布，组织只能依赖临时缓解和监控。

关键结论

Pwn2Own Berlin 2026 的漏洞链演示，以及正在被利用的 CVE‑2026‑42897，再次提醒企业：

本地部署的 Exchange 服务器仍然是企业安全体系中的高风险节点。

Pwn2Own 展示了顶级研究人员在受控环境中可以做到什么，而零日漏洞则证明攻击者在真实世界中的行动速度同样惊人。

对于仍在运行本地 Exchange 的组织来说，现实的安全策略包括：减少互联网暴露、启用自动缓解服务、并在补丁发布后尽快完成更新。