答案已發布20 個來源
Microsoft Exchange 為何在同一週遭遇兩起重大安全破口？
2026 年 5 月，Microsoft Exchange 在不到兩天內出現兩起不同性質的安全事件：Pwn2Own Berlin 展示的 SYSTEM 級遠端程式執行漏洞鏈，以及正在被實際攻擊利用的零日漏洞 CVE‑2026‑42897。 DEVCORE 研究員 Orange Tsai 在 Pwn2Own 透過三個未知漏洞組成攻擊鏈，成功取得 Exchange Server 的 SYSTEM 權限並獲得 20 萬美元獎金，但細節暫未公開以等待修補。
發布者使用 GPT-5.5 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- 2026 年 5 月，Microsoft Exchange 在不到兩天內出現兩起不同性質的安全事件：Pwn2Own Berlin 展示的 SYSTEM 級遠端程式執行漏洞鏈，以及正在被實際攻擊利用的零日漏洞 CVE‑2026‑42897。
- DEVCORE 研究員 Orange Tsai 在 Pwn2Own 透過三個未知漏洞組成攻擊鏈，成功取得 Exchange Server 的 SYSTEM 權限並獲得 20 萬美元獎金，但細節暫未公開以等待修補。
- CVE‑2026‑42897 是影響 Outlook Web Access 的跨站腳本（XSS）漏洞，已被加入 CISA 的 Known Exploited Vulnerabilities 目錄，代表它正在現實攻擊中被利用。
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Microsoft Exchange get hit by both a major Pwn2Own Berlin 2026 exploit and a separate actively exploited zero-day in the same week,. Article summary: Microsoft Exchange was hit by two different events in the same week: a contest-disclosed Pwn2Own Berlin 2026 exploit chain against Exchange, and a separate real-world zero-day, CVE-2026-42897, that Microsoft said was alr. Topic tags: general, government, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "* Microsoft Exchange, Windows 11 hacked on second day of Pwn2Own. During the second day of Pwn2Own Berlin 2026, competitors collected $385,750 in cash awards after exploiting 15 u" source context "Microsoft Exchange, Windows 11 hacked on second day of Pwn2Own" Reference image 2: visual subject "# Micr
2026 年 5 月對 Microsoft Exchange 管理員來說並不好過。短短大約 48 小時內，這套企業郵件平台同時遇到兩起不同類型的安全事件：一個是在 Pwn2Own Berlin 2026 黑客競賽中被研究員成功攻破的漏洞鏈，另一個則是 已在真實攻擊中被利用的零日漏洞 CVE‑2026‑42897。
兩者彼此並沒有直接關聯，但共同凸顯一個現實：仍然在本地端（on‑premises）運行的 Exchange Server，一直都是高價值攻擊目標，尤其當 Outlook Web Access（OWA）等服務直接對外開放時。
Pwn2Own Berlin 2026：Exchange 被示範 SYSTEM 級 RCE
在德國柏林舉辦的 Pwn2Own Berlin 2026 是全球知名的漏洞研究競賽，參賽者需要在完全更新的系統上成功攻破目標產品。
在比賽第二天，DEVCORE 研究團隊的 Orange Tsai 成功串連 三個未知漏洞，對 Microsoft Exchange Server 完成一次完整攻擊鏈，最終達成 SYSTEM 權限的遠端程式執行（RCE），並獲得 20 萬美元獎金。
這次攻擊展示有幾個重要特點：
- 攻擊並非單一漏洞，而是 多漏洞串聯（exploit chain）。
- 最終權限為 SYSTEM，代表攻擊者可完全控制伺服器。
- 按照 Pwn2Own 規則，漏洞細節 暫時不公開，讓廠商先修補。
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「Microsoft Exchange 為何在同一週遭遇兩起重大安全破口？」的簡短答案是什麼？
2026 年 5 月，Microsoft Exchange 在不到兩天內出現兩起不同性質的安全事件：Pwn2Own Berlin 展示的 SYSTEM 級遠端程式執行漏洞鏈，以及正在被實際攻擊利用的零日漏洞 CVE‑2026‑42897。
最值得優先驗證的重點是什麼？
2026 年 5 月，Microsoft Exchange 在不到兩天內出現兩起不同性質的安全事件：Pwn2Own Berlin 展示的 SYSTEM 級遠端程式執行漏洞鏈，以及正在被實際攻擊利用的零日漏洞 CVE‑2026‑42897。 DEVCORE 研究員 Orange Tsai 在 Pwn2Own 透過三個未知漏洞組成攻擊鏈，成功取得 Exchange Server 的 SYSTEM 權限並獲得 20 萬美元獎金，但細節暫未公開以等待修補。
接下來在實務上該怎麼做？
CVE‑2026‑42897 是影響 Outlook Web Access 的跨站腳本（XSS）漏洞，已被加入 CISA 的 Known Exploited Vulnerabilities 目錄，代表它正在現實攻擊中被利用。