Découverte d'une vulnérabilité zero-day critique dans Microsoft Exchange Server
Microsoft a signalé une grave faille de sécurité dans Exchange Server, déjà activement exploitée par des attaquants. Référencée CVE-2026-42897, la vulnérabilité permet des attaques de type cross-site scripting et est classée « critique » par Microsoft malgré un score CVSS de 8.1. Point particulièrement problématique : au moment de l'alerte, aucune mise à jour logicielle régulière n'était encore disponible.
La vulnérabilité repose sur un filtrage insuffisant des entrées lors de la génération de pages web et permet à des attaquants non authentifiés, depuis le réseau, de mener des attaques par usurpation. Sont concernées toutes les versions d'Exchange Server 2016, 2019 ainsi qu'Exchange Server Subscription Edition, à tous les niveaux de mise à jour.
Scénario d'attaque via Outlook Web Access
La vulnérabilité cible spécifiquement Outlook Web Access (OWA). Des attaquants peuvent envoyer des courriels manipulés à des victimes potentielles. Lorsque les utilisateurs ouvrent ces courriels dans OWA et que certaines conditions d'interaction sont remplies, du code JavaScript arbitraire est exécuté dans le navigateur de la victime.
Ce scénario rend la vulnérabilité particulièrement dangereuse pour les entreprises, de nombreuses organisations utilisant OWA pour l'accès externe à la messagerie de leurs collaborateurs. Le fait que la faille soit déjà exploitée dans la nature accroît considérablement le risque pour les systèmes concernés.
Systèmes et versions concernés
Toutes les installations Exchange Server des versions suivantes sont concernées par la vulnérabilité :
- Exchange Server 2016 (tous niveaux de mise à jour)
- Exchange Server 2019 (tous niveaux de mise à jour)
- Exchange Server Subscription Edition (tous niveaux de mise à jour)
Mesures d'urgence et contre-mesures disponibles
Bien qu'aucune mise à jour logicielle régulière ne soit encore disponible, Microsoft propose des contre-mesures automatiques via le service Exchange Emergency Mitigation (EM). Ce service est distribué depuis septembre 2021 et est activé par défaut. Sur les systèmes où le service EM est actif, Microsoft a déjà appliqué automatiquement les mesures de protection.
Microsoft met en outre à disposition une version manuelle des contre-mesures, que les administrateurs peuvent implémenter eux-mêmes. Ces correctifs temporaires doivent contenir la vulnérabilité jusqu'à la disponibilité de mises à jour permanentes.
Effets secondaires connus des mesures de protection
Les contre-mesures mises en œuvre entraînent quelques limitations fonctionnelles dont les administrateurs doivent être informés :
- L'impression de calendriers dans OWA pourrait ne plus fonctionner
- Les images en ligne ne s'affichent plus correctement dans le volet du destinataire
- OWA Light pourrait ne plus fonctionner correctement (cette fonction est déjà considérée comme obsolète)
- Les détails de la mesure d'atténuation peuvent indiquer que celle-ci n'est pas valable pour la version d'Exchange – il ne s'agit toutefois que d'un problème d'affichage
Ce qui compte, c'est le statut « Applied » dans les détails de l'atténuation, qui indique que les mesures de protection ont été correctement implémentées.
Portée pour la sécurité informatique
Cette vulnérabilité souligne une nouvelle fois l'importance critique des systèmes de messagerie comme cible pour les cybercriminels. Les attaques de type cross-site scripting via des plateformes de messagerie peuvent avoir de lourdes conséquences, puisqu'elles permettent aux attaquants d'exécuter du code malveillant dans le contexte d'applications de confiance.
Pour les entreprises qui dépendent d'Exchange Server, cet incident met en évidence l'importance de mesures de sécurité proactives. Le fait que Microsoft ne fournisse dans un premier temps que des correctifs d'urgence illustre la complexité des infrastructures informatiques modernes et les difficultés à corriger rapidement des vulnérabilités critiques.
Recommandations pour les administrateurs informatiques
Les responsables informatiques devraient prendre sans délai les mesures suivantes :
- Vérifier que le service Exchange Emergency Mitigation est activé et fonctionne correctement
- Le cas échéant, implémenter manuellement les contre-mesures fournies par Microsoft
- Surveiller les systèmes Exchange à la recherche d'activités inhabituelles
- Sensibiliser les utilisateurs aux courriels suspects, en particulier lors d'un accès via OWA
- Se préparer à l'installation de mises à jour permanentes dès leur disponibilité
Perspectives et solution permanente
L'équipe Exchange de Microsoft travaille déjà à un correctif permanent pour cette vulnérabilité. Cette solution définitive doit paraître sous forme de mise à jour pour différentes versions d'Exchange : Exchange SE RTM, Exchange 2016 CU23 ainsi qu'Exchange Server 2019 CU14 et CU15.
Les administrateurs d'Exchange 2016 ou 2019 doivent toutefois noter qu'ils devront avoir souscrit au second niveau des mises à jour de sécurité étendues (ESU) pour obtenir ces correctifs. Cela souligne l'importance de contrats de maintenance à jour pour des composants d'infrastructure critiques.
Cet incident illustre parfaitement la rapidité avec laquelle la situation de menace peut évoluer en sécurité informatique. Les vulnérabilités zero-day déjà activement exploitées exigent des réactions rapides et déterminées des responsables informatiques. La mise à disposition automatique de mesures d'urgence par Microsoft témoigne à cet égard de nouvelles approches face aux failles critiques.
