Scoperta una vulnerabilità zero-day critica in Microsoft Exchange Server
Microsoft ha segnalato una grave falla di sicurezza in Exchange Server, già attivamente sfruttata dagli aggressori. La vulnerabilità classificata come CVE-2026-42897 consente attacchi di cross-site scripting e viene classificata da Microsoft come "critica" nonostante un punteggio CVSS di 8.1. Particolarmente problematico: al momento dell'avviso non sono ancora disponibili aggiornamenti software regolari.
La vulnerabilità si basa su un filtraggio insufficiente degli input durante la generazione delle pagine web e consente ad aggressori non autenticati dalla rete di condurre attacchi di spoofing. Sono interessate tutte le versioni di Exchange Server 2016, 2019 nonché Exchange Server Subscription Edition in tutti i livelli di aggiornamento.
Scenario di attacco tramite Outlook Web Access
La vulnerabilità prende di mira in particolare Outlook Web Access (OWA). Gli aggressori possono inviare e-mail manipolate a potenziali vittime. Se gli utenti aprono queste e-mail in OWA e sono soddisfatte determinate condizioni di interazione, viene eseguito codice JavaScript arbitrario nel browser della vittima.
Questo scenario di attacco rende la vulnerabilità particolarmente pericolosa per le aziende, poiché molte organizzazioni utilizzano OWA per l'accesso esterno alla posta elettronica dei propri collaboratori. Il fatto che la falla venga già sfruttata in scenari reali aumenta notevolmente il rischio per i sistemi interessati.
Sistemi e versioni interessati
Tutte le installazioni di Exchange Server delle seguenti versioni sono interessate dalla vulnerabilità:
- Exchange Server 2016 (tutti i livelli di aggiornamento)
- Exchange Server 2019 (tutti i livelli di aggiornamento)
- Exchange Server Subscription Edition (tutti i livelli di aggiornamento)
Misure di emergenza e contromisure disponibili
Sebbene non siano ancora disponibili aggiornamenti software regolari, Microsoft offre contromisure automatiche tramite l'Exchange Emergency Mitigation (EM) Service. Questo servizio viene distribuito da settembre 2021 ed è attivato per impostazione predefinita. Nei sistemi in cui il servizio EM è attivo, Microsoft ha già applicato automaticamente le misure di protezione.
Inoltre Microsoft mette a disposizione una variante manuale delle contromisure, che gli amministratori possono implementare autonomamente. Queste correzioni temporanee devono contenere la vulnerabilità fino a quando non saranno disponibili aggiornamenti permanenti.
Effetti collaterali noti delle misure di protezione
Le contromisure implementate comportano alcune limitazioni funzionali, di cui gli amministratori dovrebbero essere informati:
- La stampa dei calendari in OWA potrebbe non funzionare più
- Le immagini inline non vengono più visualizzate correttamente nel pannello del destinatario
- OWA Light potrebbe non funzionare più correttamente (questa funzione è già considerata obsoleta)
- I dettagli della mitigation potrebbero indicare che la contromisura non è valida per la versione di Exchange - si tratta però solo di un problema estetico
Determinante è lo stato "Applied" nei dettagli della mitigation, che indica che le misure di protezione sono state implementate con successo.
Importanza per la sicurezza IT
Questa vulnerabilità sottolinea ancora una volta l'importanza critica dei sistemi di posta elettronica come bersaglio per i criminali informatici. Gli attacchi di cross-site scripting tramite piattaforme e-mail possono avere conseguenze di ampia portata, poiché consentono agli aggressori di eseguire codice dannoso nel contesto di applicazioni ritenute affidabili.
Per le aziende che dipendono da Exchange Server, questo episodio evidenzia l'importanza di misure di sicurezza proattive. Il fatto che Microsoft fornisca inizialmente solo patch di emergenza mette in luce la complessità delle moderne infrastrutture IT e le sfide legate alla rapida risoluzione di vulnerabilità critiche.
Raccomandazioni per gli amministratori IT
I responsabili IT dovrebbero intraprendere immediatamente i seguenti passi:
- Verifica che l'Exchange Emergency Mitigation Service sia attivato e funzioni correttamente
- Se necessario, implementazione manuale delle contromisure fornite da Microsoft
- Monitoraggio dei sistemi Exchange per individuare attività insolite
- Sensibilizzazione degli utenti verso le e-mail sospette, in particolare in caso di accesso tramite OWA
- Preparazione all'installazione degli aggiornamenti permanenti non appena saranno disponibili
Prospettive e soluzione permanente
Il team Exchange di Microsoft sta già lavorando a una correzione permanente della vulnerabilità. Questa soluzione definitiva dovrebbe uscire come aggiornamento per diverse versioni di Exchange: Exchange SE RTM, Exchange 2016 CU23 nonché Exchange Server 2019 CU14 e CU15.
Gli amministratori di Exchange 2016 o 2019 devono però tenere presente che per questi aggiornamenti è necessario aver sottoscritto il secondo livello degli aggiornamenti di sicurezza estesi (ESU). Ciò sottolinea l'importanza di contratti di manutenzione aggiornati per i componenti di infrastruttura critici.
L'episodio mostra in modo esemplare quanto rapidamente possa cambiare il quadro delle minacce nella sicurezza IT. Le vulnerabilità zero-day già attivamente sfruttate richiedono reazioni rapide e decise da parte dei responsabili IT. La messa a disposizione di misure di emergenza automatiche da parte di Microsoft dimostra al riguardo nuovi approcci nella gestione delle falle di sicurezza critiche.
