Exchange零日漏洞CVE-2026-42897：本地部署管理员须知

安全追踪数据库将该问题评为高危（CVSS 8.1），这反映了其除了需要用户交互外，几乎无需其他前提条件即可被远程利用的能力。

OWA攻击是如何运作的

攻击链条依赖于社会工程学和恶意邮件内容。

1. 攻击者向目标组织发送一封特制的邮件。
2. 受害者使用Outlook on the web 打开该邮件。
3. 由于OWA界面中的输入处理不当，攻击者控制的内容以一种允许在受害者浏览器会话中执行JavaScript的方式被渲染。

一旦执行，该脚本将在已认证的OWA会话上下文中运行。根据场景不同，这可能允许攻击者：

• 欺骗界面元素或通信内容
• 在用户的Web会话中执行操作
• 可能在受害者的邮箱上下文中发送或操纵数据

公开的安全公告有意避免发布详细的漏洞利用代码，但安全报告证实该漏洞已在真实世界攻击中被利用。

受影响的Exchange版本

当前报告指出以下本地部署Exchange Server版本受到影响：

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server 订阅版 (SE)

这些是组织自行部署和管理的服务器产品，通常会向内部用户开放Outlook on the web或用于远程访问。

为何Exchange Online不受影响

现有的公告一致将漏洞描述为影响本地部署的Exchange Server安装，而非微软管理的云服务。

Exchange Online有两个重要区别：

• 基础设施由微软直接运营和修补。
• 安全控制和更新由微软集中应用，而非由客户操作。

正是由于这种托管环境，该问题被报告为专门针对自行托管的Exchange服务器及其OWA组件，而不是Microsoft 365云平台。

微软的临时缓解措施

在永久补丁发布之前，微软已经发布了通过Exchange紧急缓解服务(EEMS)提供的临时保护。

EEMS可以自动将缓解措施部署到受支持的Exchange服务器。对于CVE-2026-42897，微软发布了一个ID在 M2.1.x 范围内的自动缓解措施，该措施应在启用了该服务的服务器上自动应用。

使用EEMS的组织应确认缓解措施已成功下载并应用。

手动缓解选项

并非所有环境都能使用或允许自动缓解措施。例如：

• 隔离或物理断网的网络
• 已禁用EEMS的环境

在这些情况下，微软提供了使用Exchange本地缓解工具的手动缓解路径，并提供了文档化流程，以便在不依赖自动服务的情况下应用相同的保护。

如果自动部署不可用，管理员应立即应用这些缓解措施。

针对旧版或不受支持服务器的限制

通过EEMS交付的缓解措施是为受支持的Exchange版本设计的。对于以下服务器：

• 版本过旧
• 运行不受支持的版本
• 无法连接到微软的缓解措施终结点

这些系统可能无法可靠地接收或应用缓解措施。

在此类系统升级、隔离或以其他方式获得保护之前，应将其视为潜在暴露状态。

尚无确认的永久补丁

在本文引用公共公告时，微软已发布缓解措施，但尚未发布针对CVE-2026-42897的永久安全更新。组织应监控官方的微软安全公告和Exchange团队指导，以获取补丁可用性的信息。

为什么Exchange Health Checker脚本现在至关重要

基于缓解措施的防御的一个关键风险是假设它们处于活动状态而实际上并非如此。

微软建议使用Exchange Health Checker脚本来验证所有服务器的缓解措施状态。该脚本可以快速报告：

• Exchange紧急缓解服务是否已启用
• 诸如 M2.1.x 之类的缓解措施是否已应用
• 阻止缓解措施下载或激活的配置问题

在每个Exchange服务器上运行该工具，有助于确保组织真正受到保护，而不是依赖于臆断的配置。

Exchange管理员的紧急操作步骤

运行本地部署Exchange的组织应优先执行以下操作：

• 验证EEMS已启用且功能正常
• 确认针对CVE-2026-42897的M2.1.x缓解措施已应用
• 在所有服务器上运行Exchange Health Checker脚本
• 如果无法获得自动保护，则应用手动缓解措施
• 识别可能无法接收缓解措施的、不受支持或过旧的服务器

由于该漏洞已被积极利用，对于暴露了Outlook on the web端点的组织，应将缓解措施验证视为紧急运维任务。