Exchange Zero-Day XSS: Perché la Vulnerabilità

THREAT BRIEF

CVE-2026-42897 è una vulnerabilità di tipo Cross-Site Scripting (XSS) che colpisce Microsoft Exchange Server, specificamente la componente Outlook Web Access (OWA). Il bug consente a un attacker remoto di iniettare codice JavaScript malevolo nelle sessioni degli utenti legittimi, potenzialmente senza necessità di credenziali.

Vettore: L'attacco sfrutta la mancata sanitizzazione di input in specifiche componenti web di OWA. L'attacker invia un'email contenente codice JavaScript appositamente craftato. Quando il destinatario visualizza l'email in OWA, il codice viene eseguito nel contesto del browser della vittima.

Stato: Nessuna patch Microsoft disponibile al momento della pubblicazione. Il vendor ha confermato il problema e sta lavorando a una correzione, ma non ha rilasciato timeline specifiche.

Esposizione: Tutte le organizzazioni che utilizzano Exchange Server con OWA abilitato sono potenzialmente vulnerabili. La superficie d'attacco è ampia perché OWA è tipicamente esposto su internet per consentire l'accesso remoto ai dipendenti.

Conferma attiva: Fonti di threat intelligence indipendenti hanno confermato che la vulnerabilità è in fase di sfruttamento attivo da parte di gruppi APT e attori criminali. Gli IOC (Indicator of Compromise) sono in fase di raccolta e condivisione tramite i canali ISAC nazionali.

---

ANALISI DELLA MINACCIA

Vettore d'attacco e meccanismo tecnico

La vulnerabilità CVE-2026-42897 risiede in un punto critico del flusso di rendering di Outlook Web Access. Quando un utente visualizza un'email contenente HTML, Exchange processa il contenuto lato server prima di inviarlo al client. Il bug si manifesta nella fase di sanitizzazione: alcuni campi dell'email non vengono correttamente escaped prima del rendering nel browser.

Concretamente, un attacker può inserire in un'email tag HTML come