Exchange零日漏洞CVE‑2026‑42897：本地伺服器管理員必須立即行動

微軟喺2026年5月14日披露咗CVE‑2026‑42897漏洞，並警告呢個漏洞已經俾人用嚟攻擊運行本地Microsoft Exchange Server嘅公司。呢個漏洞影響Outlook on the web（OWA）組件，攻擊者可以利用一個跨網站指令碼（XSS）嘅弱點，喺受害者嘅瀏覽器工作階段入面進行欺騙同惡意操作。

對於自己管理Exchange基礎設施嘅公司嚟講，風險迫在眉睫：因為已經有在野攻擊，而且截至我哋收到消息嗰陣，微軟仲未提供永久性嘅安全更新，只係出咗臨時緩解措施。

CVE‑2026‑42897係啲乜

CVE‑2026‑42897嘅成因係網頁生成期間冇正確處理輸入內容，即係典型嘅跨網站指令碼漏洞。喺Exchange Server入面，呢個弱點出現喺Outlook Web Access介面，令攻擊者可以向使用者嘅瀏覽器注入可以執行嘅內容。

微軟將呢個問題定性為欺騙漏洞，即係攻擊者可以篡改Outlook on the web嘅用戶介面或工作階段內容。

各大安全資料庫都將呢個漏洞評為高嚴重性（CVSS 8.1分），反映佢可以喺冇乜先決條件嘅情況下被遠端利用，只需要同使用者有互動就得。

OWA攻擊係點樣運作嘅

成個攻擊鏈要靠社交工程同惡意電郵內容先得。

1. 攻擊者向目標公司發送一封特製嘅電郵。
2. 受害者用**Outlook on the web（OWA）**打開呢封郵件。
3. 由於OWA介面冇妥善處理輸入內容，攻擊者控制嘅內容會以一種允許喺受害者瀏覽器工作階段內執行JavaScript嘅方式被渲染出嚟。

一旦執行，呢個腳本就會喺已通過身份驗證嘅OWA工作階段環境入面運行。根據唔同情況，攻擊者可以：

• 偽造介面元素或通訊內容
• 喺用戶嘅網頁工作階段內執行操作
• 有可能喺受害者郵箱嘅權限範圍內發送或操縱數據

公開嘅安全公告特登唔公開詳細嘅漏洞利用代碼，但安全報告已經證實，呢個漏洞確實俾人用喺真實嘅攻擊入面。

受影響嘅Exchange版本

目前報告指出，以下本地Exchange Server版本會受影響：

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server Subscription Edition（SE）

呢啲都係公司自己部署同管理嘅伺服器產品，通常會將Outlook on the web開放俾內部用戶或者用嚟做遠端存取。

點解Exchange Online唔受影響

現有嘅安全公告入面，都一致將呢個漏洞描述為只影響本地安裝嘅Exchange Server，而唔係微軟管理嘅雲端服務。

Exchange Online有兩個好重要嘅區別：

• 基礎設施係由微軟直接營運同修補。
• 安全控制同服務更新都係由微軟集中處理，而唔係由客戶自己搞。

就係因為呢種托管環境，報告先指出問題只針對自行托管嘅Exchange伺服器同佢哋嘅OWA組件，而唔關Microsoft 365雲端平台事。

微軟嘅臨時緩解措施

喺永久性修補程式出爐之前，微軟已經透過Exchange緊急緩解服務（EEMS）發布咗臨時保護措施。

EEMS可以自動向支援嘅Exchange伺服器部署緩解措施。針對CVE‑2026‑42897，微軟發布咗一個自動緩解措施，ID屬於 M2.1.x 範圍，應該會喺啟用咗呢個服務嘅伺服器上自動套用。

用緊EEMS嘅公司應該要確認緩解措施已經成功下載同套用。

手動緩解選項

唔係個個環境都用或者容許自動緩解措施。例如：

• 離線或者氣隙（air‑gapped）網絡
• 停用咗EEMS嘅環境

喺呢啲情況下，微軟提供咗一條用Exchange緩解工具嘅手動緩解路徑，同埋有文件記錄嘅程序，等管理員可以喺冇自動服務嘅情況下套用相同嘅保護。

如果自動部署行唔通，管理員應該立即手動套用呢啲緩解措施。

舊版或唔支援伺服器嘅限制

透過EEMS推送嘅緩解措施，只係針對仲有支援嘅Exchange版本。如果伺服器係：

• 過時嘅
• 運行緊唔再支援嘅版本
• 連接唔到微軟嘅緩解措施端點

咁就可能冇辦法收到或者成功套用緩解措施。

呢類系統喺升級、隔離或者用其他方法保護好之前，應該一律視為有潛在暴露風險。

暫時仲未有永久性修補程式

截至我哋引用嘅公開安全公告發出嗰陣，微軟只係發布咗緩解措施，仲未出針對CVE‑2026‑42897嘅永久性安全更新。公司應該留意微軟官方安全公告同Exchange團隊嘅指引，等修補程式推出。

點解Exchange Health Checker腳本而家咁關鍵

靠緩解措施嚟防守，最大嘅風險就係以為佢哋運行緊，但其實唔係。

微軟建議用Exchange Health Checker腳本嚟檢查成個伺服器嘅緩解措施狀態。呢個腳本可以快速報告：

• Exchange緊急緩解服務係咪啟用咗
• 類似 M2.1.x 呢類嘅緩解措施係咪已經套用
• 有冇配置問題阻止緩解措施下載或啟用

喺每一部Exchange伺服器上面執行呢個工具，可以確保公司真係受到保護，而唔係靠估個配置冇問題。

Exchange管理員要即刻做嘅步驟

運行本地Exchange嘅公司，應該優先處理以下事項：

• 確認EEMS已啟用且正常運作
• 確認CVE‑2026‑42897嘅M2.1.x緩解措施已經套用
• 喺所有伺服器上面執行Exchange Health Checker腳本
• 如果用唔到自動保護，就手動套用緩解措施
• 識別出嗰啲冇辦法收到緩解措施、唔再支援或過時嘅伺服器

因為呢個漏洞已經俾人積極利用緊，只要公司有曝露喺外面嘅Outlook on the web端點，就應該將緩解措施嘅驗證工作，當成緊急嘅營運任務嚟處理。