# Microsoft potvrdil aktivní zneužívání zero-day chyby CVE-2026-42897 v Exchange Serveru, CISA stanovila federální termín opravy na 29. května

*2026-05-17 02:01 UTC · Technologie · 1 min read*

> Microsoft odhalil CVE-2026-42897, aktivně zneužívanou spoofing chybu v Exchange Serveru, CISA nařídila federálním úřadům opravu do 29. května.

Microsoft 14. května zveřejnil chybu CVE-2026-42897, kritickou zranitelnost typu spoofing v on-premise verzích Exchange Serveru, která je nyní aktivně zneužívána. Chyba s hodnocením CVSS 8.1 umožňuje neautentizovanému útočníkovi spustit libovolný JavaScript v prohlížeči oběti odesláním speciálně připraveného e-mailu, který v Outlook Web Access vyvolá zranitelnost typu cross-site scripting.

Zranitelné jsou Exchange Server 2016, 2019 i Subscription Edition; Exchange Online zasažen není. Agentura CISA 15. května přidala chybu do katalogu známých zneužívaných zranitelností a federálním úřadům nařídila provést nápravu do 29. května. Microsoft zatím dodává dočasnou ochranu prostřednictvím služby Exchange Emergency Mitigation Service, finální oprava je v přípravě.

Zranitelnost nahlásil anonymní výzkumník a v době zveřejnění už byla aktivně zneužívána ve volné přírodě. Jde o druhý zero-day v on-premise Exchange Serveru, který útočníci za poslední dva roky zneužili přes plochu prohlížeče OWA.

## Zdroje

- [thehackernews.com](https://thehackernews.com/2026/05/on-prem-microsoft-exchange-server-cve.html)
- [helpnetsecurity.com](https://www.helpnetsecurity.com/2026/05/15/exchange-server-cve-2026-42897-exploited/)
- [securityaffairs.com](https://securityaffairs.com/192204/security/cve-2026-42897-microsoft-confirms-active-exploitation-of-exchange-server-zero-day.html)

---
TechTools News · https://techtools.cz/tools/news/clanek/1734-microsoft-potvrdil-aktivni-zneuzivani-zero-day-chyby-cve-2026-42897-v-exchange
English version: https://techtools.cz/tools/news/article/1661-microsoft-confirms-active-exploitation-of-exchange-server-zero-day-cve-2026