Vulnerabilidade ativa afeta versões locais do Exchange Server da Microsoft
A Microsoft divulgou uma nova vulnerabilidade de segurança que afeta as versões locais do Exchange Server, identificada como CVE-2026-42897, com uma pontuação CVSS de 8.1. Este problema, classificado como um bug de spoofing decorrente de uma falha de cross-site scripting, permite que atacantes não autorizados executem código JavaScript arbitrário no contexto do navegador ao enviar um e-mail malicioso. A vulnerabilidade já está sendo explorada ativamente, e a Microsoft recomenda que os usuários apliquem mitigação imediata através do Exchange Emergency Mitigation Service, que reescreve URLs automaticamente. As versões afetadas incluem Exchange Server 2016, 2019 e Subscription Edition, enquanto o Exchange Online não é impactado. Para aqueles que não podem usar o serviço de mitigação automática, a Microsoft disponibilizou um Mitigation Tool (EOMT) que deve ser aplicado manualmente. A empresa também está ciente de um problema conhecido onde a ferramenta pode indicar que a mitigação é inválida, mas assegura que a aplicação é bem-sucedida se o status mostrar ‘Applied’. Embora não haja informações sobre a identidade dos atacantes ou a escala das explorações, é crucial que as organizações adotem as medidas recomendadas para se protegerem.