Microsoft Exchange 一星期內連中兩擊：研究級漏洞鏈同真實零日攻擊同時出現

2026 年 5 月對 Microsoft Exchange 管理員嚟講可謂「安全黑色星期」。短短大約 48 小時內，平台先後遇到兩件完全不同但同樣嚴重嘅事件：

• 一個喺 Pwn2Own Berlin 2026 黑客比賽中公開示範嘅漏洞鏈
• 另一個 已經被攻擊者實際利用嘅零日漏洞 CVE‑2026‑42897

兩者雖然互不相關，但共同反映一個事實：仍然自行部署（on‑premises）嘅 Exchange Server 一直係高價值攻擊目標。

Pwn2Own Berlin 2026：Exchange 被成功攻破

喺德國柏林舉行嘅 Pwn2Own Berlin 2026 黑客競賽中，研究員成功入侵多種企業級產品，其中一個焦點就係 Microsoft Exchange。

安全研究員 DEVCORE 團隊嘅 Orange Tsai 透過 串連三個未公開漏洞，成功取得 Exchange Server SYSTEM 權限嘅遠端程式執行（RCE），並因此贏得 200,000 美元獎金。

呢次攻擊鏈有幾個重點：

• 攻擊需要 多個漏洞串連，而唔係單一漏洞
• 最終可取得 SYSTEM 等級權限，即完全控制整部 Exchange Server
• 漏洞細節 未即時公開，一般會等廠商完成修補先披露

根據 Pwn2Own 規則，所有被測試產品都必須運行 最新版本與最新更新。

因此，呢個示範代表嘅係：即使係已更新系統，仍然可能存在尚未公開嘅漏洞組合。

不過當時並 冇證據顯示該漏洞鏈已在真實世界被利用。

真實攻擊：Exchange 零日漏洞 CVE‑2026‑42897

差唔多同一時間，Microsoft 發出安全警告：另一個 Exchange 漏洞 已經被黑客利用。

漏洞編號 CVE‑2026‑42897，屬於 輸入處理不當導致嘅跨站腳本（XSS）漏洞。

簡單講，攻擊者可以透過特製內容，令受害者喺 Outlook Web Access（OWA） 等 Exchange 網頁介面瀏覽時執行惡意 JavaScript。

可能出現嘅攻擊方式包括：

• 發送特製電郵
• 用戶透過 OWA 打開
• 瀏覽器執行惡意 JavaScript
• 攻擊者可進行 偽裝或會話劫持

該漏洞 CVSS 評分約 8.1（高危）。

更重要係：CISA 已確認漏洞被實際利用，並加入 Known Exploited Vulnerabilities (KEV) 名單。

受影響 Exchange 版本

CVE‑2026‑42897 影響 本地部署（on‑prem）Exchange Server，包括：

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition (SE)

Microsoft 表示 Exchange Online（Microsoft 365 雲端版本）並未受影響。

Microsoft 建議的臨時防護措施

由於漏洞披露時 正式修補程式尚未發布，Microsoft 先提供臨時緩解措施。

核心機制係 Exchange Emergency Mitigation Service（EEMS）。

呢個服務可以自動向 Exchange Server 推送防護規則，例如透過 URL Rewrite 規則 阻擋惡意請求。

Microsoft 建議系統管理員：

• 確保 Exchange Emergency Mitigation Service 已啟用
• 當正式安全更新推出時 立即安裝補丁
• 檢查 Exchange 同 IIS 日誌 是否有可疑活動

CISA 將漏洞加入 KEV 名單

美國網絡安全機構 CISA 很快將 CVE‑2026‑42897 加入 Known Exploited Vulnerabilities Catalog。

對美國聯邦機構而言，這意味著必須按照 BOD 22‑01 指令，在指定期限內完成修補。

一般企業亦會將 KEV 視為 高優先級安全風險，需要立即處理。

常見應對措施包括：

• 立即套用官方補丁或緩解措施
• 檢查是否有 對外暴露嘅服務
• 若未能修補，考慮 隔離或暫停系統

為何 on‑prem Exchange 仍然係熱門攻擊目標

今次事件顯示兩種完全不同嘅攻擊模式同時出現：

• 研究員發現嘅 高階漏洞鏈
• 黑客已經利用嘅 實際零日漏洞

而 on‑prem Exchange 特別容易成為目標，主要原因包括：

1. 經常直接暴露於互聯網
例如 Outlook Web Access（OWA）通常會公開對外。

2. 權限價值極高
成功入侵 Exchange 可能取得：

• 全公司電郵
• 身份驗證資訊
• Windows 網域存取權

3. 攻擊面廣泛
Exchange 結合 Web、IIS、Active Directory、郵件系統，多個元件都有潛在漏洞。

4. 補丁時間差
零日漏洞往往在補丁推出前已被利用，迫使管理員依賴臨時防護措施。

總結

Pwn2Own Berlin 2026 嘅 Exchange 攻擊示範，同 CVE‑2026‑42897 真實零日攻擊，同一星期出現並非巧合。

兩者一齊突顯一個長期問題：仍然自行部署嘅 Exchange Server 係企業網絡中最敏感嘅入口之一。

對仍然運行 on‑prem Exchange 嘅機構而言，最重要嘅行動包括：

• 減少 Exchange 服務直接暴露於互聯網
• 確保 EEMS 防護機制啟用
• 第一時間套用安全更新
• 持續監察 OWA 與 IIS 日誌

否則，一個看似普通嘅 Web 漏洞，就可能變成整個企業網絡入侵嘅起點。