Lo m\u00e1s importante en resumen<\/p>\n
- \n
- CVE-2026-42897 (CVSS 8.1).<\/strong> Vulnerabilidad de spoofing y XSS en Exchange Server OWA, revelada por Microsoft el 14.05.2026 – en explotaci\u00f3n activa seg\u00fan MSRC y CISA.<\/li>\n
- Afectados.<\/strong> Exchange Server Subscription Edition, Exchange Server 2016, Exchange Server 2019. Quien utilice una de estas versiones sin el parche actualizado est\u00e1 expuesto.<\/li>\n
- Vector de ataque.<\/strong> Correo manipulado enviado a un buz\u00f3n OWA – bajo ciertas condiciones de interacci\u00f3n, se ejecuta JavaScript en el contexto del navegador. No es necesario hacer clic en un adjunto.<\/li>\n
- CISA-KEV desde el 15.05.2026.<\/strong> El plazo l\u00edmite para las agencias federales de EE.UU. es el 29.05.2026 – para los CISO de la regi\u00f3n DACH, un indicador de 14 d\u00edas al que deber\u00edan ajustarse los ciclos de parcheo.<\/li>\n
- Medidas inmediatas.<\/strong> Verificar el Exchange Emergency Mitigation Service (EM Service) – la mitigaci\u00f3n autom\u00e1tica se ejecuta en sistemas compatibles. Si no es el caso, iniciar manualmente la herramienta EOMT (Exchange On-Premises Mitigation Tool). Configurar el SOC para monitorizar sesiones OWA y nuevas reglas de reenv\u00edo autom\u00e1tico. Microsoft a\u00fan est\u00e1 preparando un Cumulative Update cl\u00e1sico.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>DORA y NIS2: Por qu\u00e9 las auditor\u00edas bancarias chocan ahora<\/a> \/<\/span> MFA adaptativo: la configuraci\u00f3n predeterminada no es suficiente<\/a><\/p>\n
\u00bfQu\u00e9 es CVE-2026-42897?<\/strong> CVE-2026-42897 es una vulnerabilidad combinada de spoofing y cross-site scripting en Microsoft Exchange Server. A trav\u00e9s de un correo manipulado en Outlook Web Access (OWA), es posible ejecutar JavaScript en el contexto del navegador de la v\u00edctima, sin necesidad de hacer clic en un adjunto. Microsoft confirma su explotaci\u00f3n activa, y ya figura en la lista CISA-KEV. Afecta a Exchange Server Subscription Edition, 2016 y 2019.<\/p>\n
Por qu\u00e9 este Zero-Day es cr\u00edtico para las pymes de la regi\u00f3n DACH<\/h2>\n
Exchange on-prem no ha desaparecido en los entornos de las pymes de la regi\u00f3n DACH; muchas empresas mantienen configuraciones h\u00edbridas en las que el componente web de Outlook act\u00faa como soluci\u00f3n de respaldo para equipos externos o teletrabajo, expuesto en la red. Esta es precisamente la configuraci\u00f3n que buscan los atacantes: un endpoint OWA accesible v\u00eda HTTPS, un correo de phishing con contenido manipulado y la ejecuci\u00f3n se produce en el navegador de la v\u00edctima, con todos los permisos que tenga la sesi\u00f3n OWA. En la pr\u00e1ctica, esto significa acceso a la bandeja de entrada, la libreta de direcciones y, en muchas configuraciones, tambi\u00e9n a los calendarios compartidos y las reglas de Outlook.<\/p>\n
Los textos de los avisos de Microsoft suelen estar formulados de manera neutral en estos casos. \u00abSpoofing\u00bb suena a falsificaci\u00f3n en la traducci\u00f3n, pero en combinaci\u00f3n con \u00abXSS en OWA\u00bb equivale a ejecuci\u00f3n de c\u00f3digo en el navegador de un frontend de correo de confianza. Quien considere \u00abspoofing\u00bb como algo inofensivo, subestima el potencial de da\u00f1o. Este es precisamente el punto en el que un n\u00famero CVE se convierte en un riesgo real de incidente.<\/p>\n
El modelo t\u00edpico de ataque en seis pasos<\/h2>\n
Paso 1 – Descubrimiento de OWA:<\/strong> El atacante escanea en busca de puntos finales de OWA, normalmente bajo
mail.empresa.es\/owa<\/code> o variantes de subdominios. Estos suelen ser r\u00e1pidamente localizables a trav\u00e9s de servicios similares a Shodan.<\/p>\nPaso 2 – Verificaci\u00f3n de versi\u00f3n:<\/strong> A partir de las cabeceras HTTP de respuesta o de los marcadores de la p\u00e1gina de inicio de sesi\u00f3n de OWA, a menudo es posible deducir la versi\u00f3n de Exchange hasta el nivel de Cumulative Update. Las versiones sin parchear se a\u00f1aden a una lista de objetivos.<\/p>\n
Paso 3 – Correo de phishing con carga \u00fatil desencadenante:<\/strong> Se construye un correo de manera que, al abrirse en OWA, ciertos elementos HTML sean analizados incorrectamente por el renderizador. Esto desencadena la condici\u00f3n XSS.<\/p>\n
Paso 4 – Ejecuci\u00f3n de JavaScript en el contexto de OWA:<\/strong> El c\u00f3digo ejecutado se ejecuta con la sesi\u00f3n de la v\u00edctima. Puede leer todo lo que OWA tiene permitido leer, incluidos borradores de correos, adjuntos y reglas de reenv\u00edo autom\u00e1tico.<\/p>\n
Paso 5 – Persistencia mediante reglas de Outlook:<\/strong> A trav\u00e9s de la sesi\u00f3n comprometida, es posible establecer reglas de reenv\u00edo autom\u00e1tico que copien los correos entrantes a direcciones externas. Estas reglas sobreviven al final de la sesi\u00f3n y suelen ser invisibles en muchas auditor\u00edas est\u00e1ndar.<\/p>\n
Paso 6 – Movimiento lateral:<\/strong> Desde el buz\u00f3n de correo se recopilan entradas de la libreta de direcciones y se preparan correos de seguimiento dirigidos a nivel de direcci\u00f3n o funciones financieras. Esto marca la transici\u00f3n del acceso inicial a la fase de compromiso de correo empresarial.<\/p>\n
\n16 %<\/div>\nPorcentaje mundial de buzones Exchange on-prem (Statista 2023)<\/div>\nSeg\u00fan Statista, en 2023 solo alrededor del 16 % de los buzones de correo Exchange a nivel mundial segu\u00edan siendo on-prem, mientras que el resto correspond\u00eda a Exchange Online. En el \u00e1mbito DACH (Alemania, Austria y Suiza), las pymes superan este promedio: muchas empresas operan con configuraciones mixtas, en las que las p\u00e1ginas de inicio de sesi\u00f3n de OWA siguen siendo accesibles durante a\u00f1os, mientras se completa la migraci\u00f3n principal. Precisamente estas configuraciones h\u00edbridas son el principal objetivo de ataques para CVE-2026-42897.<\/div>\n<\/div>\nQu\u00e9 debe estar operativo para el lunes<\/h2>\n
Inmediato – Inventario y activaci\u00f3n de mitigaci\u00f3n:<\/strong> identificar todas las instancias de servidores Exchange, verificar el estado del Cumulative Update y controlar el estado del Exchange Emergency Mitigation Service. En sistemas compatibles, Microsoft activa la mitigaci\u00f3n autom\u00e1ticamente, aunque el parche permanente a\u00fan est\u00e1 en preparaci\u00f3n. Donde el servicio EM no funcione, desplegar manualmente la herramienta Exchange On-Premises Mitigation Tool (EOMT). En configuraciones distribuidas (roles de buz\u00f3n, Edge y transporte de concentradores), tratar cada rol por separado y planificar el reinicio del servicio.<\/p>\n
Corto plazo – Verificaci\u00f3n de exposici\u00f3n de OWA:<\/strong> \u00bfQu\u00e9 puntos finales de OWA son accesibles desde Internet? \u00bfEs posible ocultar los puntos finales no necesarios detr\u00e1s de una VPN o un gateway de Zero Trust? Revisar las pol\u00edticas de acceso condicional si existe una configuraci\u00f3n h\u00edbrida con Entra ID.<\/p>\n
Detecci\u00f3n – An\u00e1lisis SOC de los \u00faltimos 30 d\u00edas:<\/strong> revisar los registros de los servidores de correo en busca de sesiones OWA inusuales y cambios en las reglas de reenv\u00edo autom\u00e1tico. Microsoft a\u00fan no ha publicado IOCs a nivel de paquete o forenses en este momento, por lo que la detecci\u00f3n propia del SOC debe basarse en comportamientos an\u00f3malos de sesiones OWA, nuevas reglas de bandeja de entrada con reenv\u00edo autom\u00e1tico y patrones inusuales de User-Agent.<\/p>\n
Refuerzo posterior:<\/strong> endurecer las cabeceras de Content-Security-Policy para OWA, limitar la ejecuci\u00f3n de JavaScript para contenidos de correo no confiables y ajustar las reglas de filtrado de correo para los patrones desencadenantes descritos en los IOCs.<\/p>\n
\u00abEl spoofing en OWA es la traducci\u00f3n amable de Microsoft para ‘JavaScript se ejecuta en vuestro frontend de correo’. Quien lo clasifique como de prioridad media en una lista de parches no ha le\u00eddo la etiqueta CVE… o no ha entendido las consecuencias.\u00bb<\/p><\/blockquote>\n
Recomendaciones del BSI y disciplina de actualizaci\u00f3n en la regi\u00f3n DACH<\/h2>\n
En el pasado, el BSI ha emitido recomendaciones inmediatas claras ante vulnerabilidades comparables en Exchange (como la oleada de ProxyLogon en 2021) y, al mismo tiempo, ha documentado lo dif\u00edcil que resulta para muchas pymes de la regi\u00f3n DACH cerrar un ciclo de parches para Exchange en menos de 14 d\u00edas. Las razones principales no han cambiado: estados mixtos de actualizaciones acumulativas, incompatibilidades de scripts con herramientas de terceros y disponibilidad de ventanas de mantenimiento durante el fin de semana.<\/p>\n
Para la CVE-2026-42897, la expectativa est\u00e1 clara: parchear en un plazo de 48 horas o mantener un workaround compensatorio. Quien no lo consiga, deber\u00eda al menos retirar el componente OWA de Internet hasta que el parche se aplique correctamente. Esto es operativamente impopular, pero considerablemente menos grave que un informe de incidente en la reuni\u00f3n de la junta directiva.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque la desbloquea.<\/p>\n
\n\u00bfEs suficiente una actualizaci\u00f3n acumulativa para cerrar la brecha?<\/strong><\/summary>\n
Actualmente no. Microsoft no ha lanzado un parche de seguridad cl\u00e1sico en el momento de la divulgaci\u00f3n el 14.05.2026, sino una mitigaci\u00f3n autom\u00e1tica a trav\u00e9s del Exchange Emergency Mitigation Service. Esta se ejecuta autom\u00e1ticamente en sistemas on-prem compatibles, mientras que el parche permanente est\u00e1 en preparaci\u00f3n. Por lo tanto, la prioridad inicial es el estado de la mitigaci\u00f3n, no el nivel de la actualizaci\u00f3n acumulativa.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 hacer si la ventana de mitigaci\u00f3n no es viable en 48 horas?<\/strong><\/summary>\n
La fecha l\u00edmite del CISA KEV para las agencias federales estadounidenses es el 29.05.2026, un anclaje realista para los CISO de la regi\u00f3n DACH. Si la mitigaci\u00f3n no se implementa en 48 horas: retirar temporalmente el endpoint de OWA de Internet (configuraci\u00f3n del servidor web o regla de firewall) y redirigir el acceso al correo a trav\u00e9s de Outlook de escritorio o la aplicaci\u00f3n m\u00f3vil. Adem\u00e1s, activar filtros de correo para patrones de sesi\u00f3n OWA inusuales y reglas de bandeja de entrada reci\u00e9n creadas.<\/p>\n<\/details>\n
\n\u00bfEst\u00e1n afectados Exchange Online y Microsoft 365?<\/strong><\/summary>\n
Seg\u00fan el estado actual del aviso de Microsoft, la CVE-2026-42897 afecta a las versiones on-prem de Exchange Server Subscription Edition, 2016 y 2019. Microsoft 365 es parcheado centralmente por el proveedor en la nube, por lo que, desde la perspectiva del usuario, no hay necesidad de actuar, aparte de mantener la vigilancia general frente a oleadas de phishing.<\/p>\n<\/details>\n
\n\u00bfC\u00f3mo se manifiesta un ataque exitoso en el SOC?<\/strong><\/summary>\n
Indicadores t\u00edpicos: sesi\u00f3n OWA inusual desde un rango de IP geogr\u00e1ficamente sospechoso, reglas de Outlook reci\u00e9n creadas con reenv\u00edo autom\u00e1tico a direcciones externas, descargas de adjuntos inusuales en sesiones OWA, borradores de correo con destinatarios at\u00edpicos. Microsoft ha publicado firmas IOC concretas en el aviso; integrarlas en las reglas del SIEM.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 referencias oficiales son determinantes?<\/strong><\/summary>\n
Las fuentes primarias son el aviso del Microsoft Security Response Center sobre la CVE-2026-42897 y la correspondiente entrada en el CISA KEV. El BSI suele remitirse en sus actualizaciones de situaci\u00f3n a estos avisos de Microsoft. Los operadores de infraestructuras cr\u00edticas deber\u00edan, adem\u00e1s, estar atentos a su propia lista de distribuci\u00f3n UP-KRITIS y a las advertencias relevantes del CERT-Bund.<\/p>\n<\/details>\n
<\/p>\n
M\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-platform-engineering-compliance-idp-nis2-82010065.jpg\")
<\/span>cloudmagazin<\/span>Platform Engineering para Compliance: los IDP imponen NIS2 y DORA<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-krisenplan-statt-krisen-pr-mittelstand-v-3796319-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Plan de crisis en lugar de PR de crisis: cuatro decisiones para pymes<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-tech-mandate-aufsichtsrat-nis2-eu-ai-act-39094777-250x143.jpg\")
<\/span>Digital Chiefs<\/span>NIS2 y el EU AI Act muestran el skill gap<\/span><\/span><\/a><\/p>\nFuente de la imagen: generada por IA (julio 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Microsoft advierte sobre una vulnerabilidad activa de OWA-Spoofing\/XSS en Exchange Server que, al abrir un correo malicioso, ejecuta JavaScript en el\u2026","protected":false},"author":10,"featured_media":22605,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Vulnerabilidad Exchange OWA","_yoast_wpseo_title":"Exchange-Zero-Day CVE-2026-42897: OWA-Spoofing obliga a los CISOs de DACH a parchear de inmediato","_yoast_wpseo_metadesc":"Microsoft advierte sobre un problema activo de suplantaci\u00f3n\/XSS en Exchange Server (CVE-2026-42897).","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/exchange-zero-day-cve-2026-42897-owa-spoofing-sofort-patch-cover-hero-1.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/exchange-zero-day-cve-2026-42897-owa-spoofing-sofort-patch-cover-hero-1.jpg","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[261,257],"tags":[],"class_list":["post-15695","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es","category-praxis-umsetzung-es"],"evm_reading_time_minutes":10,"wpml_language":"es","wpml_translation_of":15447,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/15695","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=15695"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/15695\/revisions"}],"predecessor-version":[{"id":22796,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/15695\/revisions\/22796"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22605"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=15695"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=15695"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=15695"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- Afectados.<\/strong> Exchange Server Subscription Edition, Exchange Server 2016, Exchange Server 2019. Quien utilice una de estas versiones sin el parche actualizado est\u00e1 expuesto.<\/li>\n