CERT Polska poinformował o aktywnej kampanii OWAReaper wykorzystującej podatność CVE-2026-42897 w Outlook Web Access. Luka typu stored XSS dotyczy Exchange Server 2016, Exchange Server 2019 oraz Exchange Server Subscription Edition. W praktyce specjalnie przygotowana wiadomość może zostać użyta do ataku na użytkownika korzystającego z OWA. Microsoft udostępnił wcześniej mechanizm ograniczający ryzyko przez Exchange Emergency Mitigation Service.

Na czym polega kampania OWAReaper?

Według komunikatu CERT Polska atak wykorzystuje CVE-2026-42897, czyli podatność stored XSS w Outlook Web Access. Problem nie dotyczy klasycznego fałszywego formularza logowania. Złośliwa treść może zostać osadzona w wiadomości i wykorzystać błąd po stronie podatnego środowiska Exchange.

CERT wskazuje trzy objęte problemem rodziny: Exchange Server 2016, Exchange Server 2019 i Exchange Server Subscription Edition. Dla administratora oznacza to konieczność sprawdzenia nie tylko stacji użytkowników, ale przede wszystkim stanu samego serwera.

Czy Microsoft ograniczył ryzyko?

Microsoft przygotował mitigację M2 dystrybuowaną przez Exchange Emergency Mitigation Service. Na serwerach z aktywnym EEMS poprawka ograniczająca ryzyko mogła zostać zastosowana automatycznie. CERT zaleca sprawdzenie, czy EEMS jest włączony oraz czy mitigacja M2 faktycznie została wdrożona.

Co powinien sprawdzić administrator Exchange?

Najważniejsze jest potwierdzenie wersji serwera i stanu aktualizacji, a następnie weryfikacja mitigacji EEMS. Jeśli organizacja używa OWA na jednym z wymienionych wydań Exchange, nie warto zakładać, że sam filtr antyspamowy zatrzyma atak wykorzystujący podatność aplikacji webowej.

Źródło: CERT Polska – Aktywna kampania phishingowa wycelowana w serwery Microsoft Exchange