Alerta crítica: CVE-2026-42897 permite spoofing en Exchange Server on‑premises mediante XSS

Microsoft ha confirmado una vulnerabilidad crítica en versiones on‑premises de Exchange Server, registrada como CVE‑2026‑42897, que está siendo explotada activamente en entornos reales. Se trata de un fallo de tipo cross‑site scripting (XSS) que permite spoofing: un atacante puede enviar un correo especialmente confeccionado que, si el destinatario lo abre en Outlook Web Access (OWA) y realiza ciertas interacciones, permite la ejecución de JavaScript arbitrario en el contexto del navegador del usuario.

La naturaleza de este fallo lo hace especialmente peligroso en combinación con técnicas de ingeniería social: el vector inicial no exige credenciales comprometidas ni acceso previo al servidor, basta con que el usuario objetivo visualice o interactúe con el mensaje en OWA. Aunque Microsoft ha asignado un CVSS alto (8.1) y ha marcado la incidencia como “Exploitation Detected”, todavía no se han publicado detalles forenses sobre el actor, las campañas o la escala de las intrusiones, lo que complica la atribución y el alcance real del daño.

Es importante subrayar que Exchange Online no se ve afectado, pero las instalaciones locales de Exchange Server 2016, 2019 y Subscription Edition sí lo están en cualquier nivel de actualización. Microsoft ha habilitado una mitigación temporal automática mediante su Exchange Emergency Mitigation Service (EEMS); los administradores pueden consultar la documentación oficial en la página de EEMS para confirmar el estado y configuración de ese servicio.

Para entornos aislados por políticas de air‑gap o que no puedan usar la mitigación automática, Microsoft ha publicado la herramienta Exchange On‑premises Mitigation Tool (EOMT). El enlace corto oficial es https://aka.ms/UnifiedEOMT, y la ejecución típica para aplicar la mitigación sería, por ejemplo, ejecutar .\EOMT.ps1 -CVE "CVE-2026-42897" en un Exchange Management Shell elevado o usar un comando que recorra servidores con Get‑ExchangeServer para aplicarlo a todos.

Más allá de aplicar las mitigaciones proporcionadas, las organizaciones deberían asumir que la exposición de OWA incrementa el riesgo: revise y habilite la mitigación automática (EEMS) y confirme que el servicio de Windows correspondiente está en ejecución, o aplique EOMT si la red está desconectada. Mientras tanto, reduzca la superficie de ataque limitando el acceso externo a OWA mediante listas de control de acceso, redes privadas virtuales, o un WAF con reglas para bloquear payloads sospechosos, y fuerce autenticación multifactor para el acceso web cuando sea posible.

Además de medidas de contención, incorpore tareas de detección y respuesta: inspeccione registros de OWA y del servidor Exchange en busca de accesos inusuales, encabezados o parámetros que contengan scripts, y pivotee en buzones que pudieron recibir correos sospechosos. Si hay sospecha de explotación, preserve evidencias, aísle los servidores afectados y contacte al equipo de soporte y respuesta interno o a Microsoft para coordinar la investigación.

La exposición prolongada de servidores on‑premises sin parches o mitigaciones modernas hace que este tipo de vulnerabilidades tenga un impacto desproporcionado. Como práctica de seguridad, planifique aplicar el parche definitivo tan pronto como Microsoft lo publique, revise la arquitectura para reducir dependencias críticas en servicios expuestos y actualice procesos de respuesta ante incidentes para cubrir ataques basados en contenido web y spoofing.

Para mantenerse informado y obtener instrucciones concretas de aplicación de mitigaciones y parches, consulte las fuentes oficiales de Microsoft y la documentación de respuesta a vulnerabilidades: EEMS y EOMT (herramienta de mitigación). También es recomendable suscribirse a boletines de seguridad y a feeds de Inteligencia de Vulnerabilidades para recibir avisos sobre actualizaciones y detalles técnicos adicionales.

Si administra un servidor Exchange afectado, actúe con prioridad: aplique la mitigación adecuada ahora, monitorice evidencias de compromiso y prepárese para desplegar el parche permanente en cuanto esté disponible. La coordinación entre equipos de TI, seguridad y comunicación interna es clave para minimizar el riesgo y contener posibles campañas dirigidas a sus usuarios.