Microsoft 14. května zveřejnil chybu CVE-2026-42897, kritickou zranitelnost typu spoofing v on-premise verzích Exchange Serveru, která je nyní aktivně zneužívána. Chyba s hodnocením CVSS 8.1 umožňuje neautentizovanému útočníkovi spustit libovolný JavaScript v prohlížeči oběti odesláním speciálně připraveného e-mailu, který v Outlook Web Access vyvolá zranitelnost typu cross-site scripting.
Zranitelné jsou Exchange Server 2016, 2019 i Subscription Edition; Exchange Online zasažen není. Agentura CISA 15. května přidala chybu do katalogu známých zneužívaných zranitelností a federálním úřadům nařídila provést nápravu do 29. května. Microsoft zatím dodává dočasnou ochranu prostřednictvím služby Exchange Emergency Mitigation Service, finální oprava je v přípravě.
Zranitelnost nahlásil anonymní výzkumník a v době zveřejnění už byla aktivně zneužívána ve volné přírodě. Jde o druhý zero-day v on-premise Exchange Serveru, který útočníci za poslední dva roky zneužili přes plochu prohlížeče OWA.