Les points cl\u00e9s en bref<\/p>\n
- \n
- CVE-2026-42897 (CVSS 8.1).<\/strong> Vuln\u00e9rabilit\u00e9 de spoofing et XSS dans Exchange Server OWA, divulgu\u00e9e par Microsoft le 14.05.2026 \u2013 exploit\u00e9e activement selon le MSRC et la CISA.<\/li>\n
- Syst\u00e8mes concern\u00e9s.<\/strong> Exchange Server Subscription Edition, Exchange Server 2016, Exchange Server 2019. Toute instance non mise \u00e0 jour avec le dernier correctif est expos\u00e9e.<\/li>\n
- Vecteur d\u2019attaque.<\/strong> E-mail pi\u00e9g\u00e9 envoy\u00e9 \u00e0 une bo\u00eete OWA \u2013 sous certaines conditions d\u2019interaction, du JavaScript s\u2019ex\u00e9cute dans le contexte du navigateur. Aucun clic sur une pi\u00e8ce jointe requis.<\/li>\n
- CISA-KEV depuis le 15.05.2026.<\/strong> D\u00e9lai f\u00e9d\u00e9ral pour les autorit\u00e9s am\u00e9ricaines fix\u00e9 au 29.05.2026 \u2013 un indicateur de 14 jours pour les RSSI de la zone DACH, sur lequel aligner les cycles de correctifs.<\/li>\n
- Mesures imm\u00e9diates.<\/strong> V\u00e9rifier le service Exchange Emergency Mitigation (EM Service) \u2013 l\u2019att\u00e9nuation automatique s\u2019active sur les syst\u00e8mes pris en charge. Sinon, lancer manuellement l\u2019outil EOMT (Exchange On-Premises Mitigation Tool). Configurer le SOC pour surveiller les sessions OWA et les nouvelles r\u00e8gles de transfert automatique. Une mise \u00e0 jour cumulative classique est en pr\u00e9paration chez Microsoft.<\/li>\n<\/ul>\n<\/div>\n
En lien :<\/span>DORA et NIS2 : pourquoi les audits bancaires entrent en collision<\/a> \/<\/span> MFA adaptative : le param\u00e9trage par d\u00e9faut ne suffit pas<\/a><\/p>\n
Qu\u2019est-ce que CVE-2026-42897 ?<\/strong> CVE-2026-42897 est une vuln\u00e9rabilit\u00e9 combin\u00e9e de spoofing et de cross-site scripting (XSS) dans Microsoft Exchange Server. Via un e-mail pi\u00e9g\u00e9 dans Outlook Web Access (OWA), il est possible d\u2019ex\u00e9cuter du JavaScript dans le contexte du navigateur de la victime, sans clic sur une pi\u00e8ce jointe. Microsoft confirme une exploitation active, et la vuln\u00e9rabilit\u00e9 figure dans la liste CISA-KEV. Les versions concern\u00e9es sont Exchange Server Subscription Edition, 2016 et 2019.<\/p>\n
Pourquoi ce zero-day est critique pour les PME de la zone DACH<\/h2>\n
Exchange en local est loin d\u2019avoir disparu dans les environnements des PME de la zone DACH \u2013 de nombreuses entreprises utilisent des configurations hybrides, o\u00f9 le composant web d\u2019Outlook reste accessible en ligne comme solution de repli pour les commerciaux ou le t\u00e9l\u00e9travail. C\u2019est pr\u00e9cis\u00e9ment cette configuration qui est vis\u00e9e : un point d\u2019acc\u00e8s OWA accessible via HTTPS, un e-mail de phishing contenant des \u00e9l\u00e9ments pi\u00e9g\u00e9s, et l\u2019ex\u00e9cution se d\u00e9clenche dans le navigateur de la victime \u2013 avec tous les droits associ\u00e9s \u00e0 la session OWA. Concr\u00e8tement, cela signifie un acc\u00e8s \u00e0 la bo\u00eete de r\u00e9ception, au carnet d\u2019adresses et, dans de nombreuses configurations, aux partages d\u2019agendas et aux r\u00e8gles Outlook.<\/p>\n
Les avis de s\u00e9curit\u00e9 de Microsoft sont d\u00e9lib\u00e9r\u00e9ment formul\u00e9s de mani\u00e8re neutre dans ces cas. \u00ab\u00a0Spoofing\u00a0\u00bb \u00e9voque une simple falsification \u2013 mais associ\u00e9 \u00e0 un \u00ab\u00a0XSS dans OWA\u00a0\u00bb, cela \u00e9quivaut \u00e0 une ex\u00e9cution de code dans le navigateur d\u2019une interface mail de confiance. Sous-estimer le terme \u00ab\u00a0spoofing\u00a0\u00bb comme anodin, c\u2019est ignorer le potentiel de dommages. C\u2019est pr\u00e9cis\u00e9ment l\u00e0 que le num\u00e9ro CVE se transforme en un risque r\u00e9el d\u2019incident.<\/p>\n
Le d\u00e9roulement typique d’une attaque selon le mod\u00e8le en six \u00e9tapes<\/h2>\n
\u00c9tape 1 – D\u00e9couverte OWA :<\/strong> L’attaquant scanne les points de terminaison OWA, g\u00e9n\u00e9ralement sous
mail.entreprise.fr\/owa<\/code> ou des variantes de sous-domaines. Ceux-ci sont souvent rapidement identifiables via des services similaires \u00e0 Shodan.<\/p>\n\u00c9tape 2 – V\u00e9rification des versions :<\/strong> \u00c0 partir des en-t\u00eates de r\u00e9ponse HTTP ou des marqueurs de la page de connexion OWA, il est souvent possible de d\u00e9terminer la version d’Exchange jusqu’au correctif cumulatif. Les versions non patch\u00e9es sont ajout\u00e9es \u00e0 une liste de cibles.<\/p>\n
\u00c9tape 3 – Email de phishing avec charge utile d\u00e9clencheuse :<\/strong> Un email est con\u00e7u de mani\u00e8re \u00e0 ce que, lors de son ouverture dans OWA, certains \u00e9l\u00e9ments HTML soient mal analys\u00e9s par le moteur de rendu. Cela d\u00e9clenche la condition XSS.<\/p>\n
\u00c9tape 4 – Ex\u00e9cution de JavaScript dans le contexte OWA :<\/strong> Le code ex\u00e9cut\u00e9 s’ex\u00e9cute avec la session de la victime. Il peut lire tout ce qu’OWA est autoris\u00e9 \u00e0 lire, y compris les brouillons de mails, les pi\u00e8ces jointes et les r\u00e8gles de r\u00e9acheminement automatique.<\/p>\n
\u00c9tape 5 – Persistance via les r\u00e8gles Outlook :<\/strong> Gr\u00e2ce \u00e0 la session compromise, il est possible de configurer des r\u00e8gles de r\u00e9acheminement automatique qui copient les emails entrants vers des adresses externes. Ces r\u00e8gles persistent apr\u00e8s la fin de la session et restent souvent invisibles dans de nombreux audits standard.<\/p>\n
\u00c9tape 6 – Mouvement lat\u00e9ral :<\/strong> \u00c0 partir de la bo\u00eete mail, les entr\u00e9es du carnet d’adresses sont r\u00e9colt\u00e9es, et des emails cibl\u00e9s sont pr\u00e9par\u00e9s pour la direction ou les fonctions financi\u00e8res. Cela marque la transition entre l’acc\u00e8s initial et la phase de compromission des emails professionnels.<\/p>\n
\n16 %<\/div>\nPart mondiale des bo\u00eetes mail Exchange on-prem (Statista 2023)<\/div>\nSelon Statista, en 2023, seulement environ 16 % des bo\u00eetes mail dans le monde fonctionnaient encore sous Exchange on-prem, le reste \u00e9tant pass\u00e9 \u00e0 Exchange Online. Les PME du DACH d\u00e9passent cette moyenne selon les observations sectorielles : de nombreuses entreprises exploitent des configurations hybrides, o\u00f9 les pages de connexion OWA restent accessibles pendant des ann\u00e9es, tandis que la migration principale est encore en cours. Ce sont pr\u00e9cis\u00e9ment ces configurations hybrides qui constituent la cible principale pour la CVE-2026-42897.<\/div>\n<\/div>\nCe qui doit \u00eatre op\u00e9rationnel d’ici lundi<\/h2>\n
Imm\u00e9diatement – Inventaire et activation des mesures d’att\u00e9nuation :<\/strong> identifier toutes les instances de serveurs Exchange, v\u00e9rifier le niveau des correctifs cumulatifs et contr\u00f4ler l’\u00e9tat du service Exchange Emergency Mitigation. Sur les syst\u00e8mes pris en charge, Microsoft active automatiquement les mesures d’att\u00e9nuation, un correctif permanent \u00e9tant encore en pr\u00e9paration. Lorsque le service EM ne s’applique pas, d\u00e9ployer manuellement l’outil Exchange On-Premises Mitigation Tool (EOMT). Pour les configurations distribu\u00e9es (r\u00f4les de bo\u00eete aux lettres, Edge et transport Hub), traiter chaque r\u00f4le individuellement et pr\u00e9voir un red\u00e9marrage des services.<\/p>\n
\u00c0 court terme – V\u00e9rification de l’exposition OWA :<\/strong> Quels points de terminaison OWA sont accessibles depuis Internet ? Est-il possible de masquer les points de terminaison non n\u00e9cessaires derri\u00e8re un VPN ou une passerelle Zero Trust ? V\u00e9rifier les politiques d’acc\u00e8s conditionnel en cas de configuration hybride avec Entra ID.<\/p>\n
D\u00e9tection – Audit SOC des 30 derniers jours :<\/strong> examiner les journaux des serveurs de messagerie pour d\u00e9tecter les sessions OWA inhabituelles et les modifications des r\u00e8gles de r\u00e9acheminement automatique. \u00c0 ce stade, Microsoft n’a pas encore publi\u00e9 d’indicateurs de compromission (IOC) au niveau des paquets ou forensiques. Votre propre d\u00e9tection SOC doit donc se concentrer sur les comportements anormaux des sessions OWA, les nouvelles r\u00e8gles de bo\u00eete de r\u00e9ception avec r\u00e9acheminement automatique et les motifs inhabituels d’agents utilisateurs.<\/p>\n
Renforcement ult\u00e9rieur :<\/strong> durcir les en-t\u00eates de politique de s\u00e9curit\u00e9 du contenu (CSP) pour OWA, limiter l’ex\u00e9cution de JavaScript pour les contenus de mails non fiables, adapter les r\u00e8gles de filtrage des mails pour les motifs d\u00e9clencheurs d\u00e9crits dans les IOC.<\/p>\n
\u00ab\u00a0Le spoofing dans OWA, c’est la traduction polie de Microsoft pour ‘du JavaScript s’ex\u00e9cute dans votre interface de messagerie’. Celui qui classe cela comme une priorit\u00e9 moyenne dans un plan de correctifs n’a pas lu l’\u00e9tiquette CVE \u2013 ou n’en a pas saisi les cons\u00e9quences.\u00a0\u00bb<\/p><\/blockquote>\n
Recommandations du BSI et discipline des mises \u00e0 jour dans la zone DACH<\/h2>\n
Le BSI a, par le pass\u00e9, formul\u00e9 des recommandations d’urgence claires face \u00e0 des vuln\u00e9rabilit\u00e9s Exchange comparables (notamment la vague ProxyLogon de 2021) – et document\u00e9 en parall\u00e8le la difficult\u00e9, pour de nombreuses PME de la zone DACH, de boucler un cycle de patch Exchange en moins de 14 jours. Les raisons principales n’ont pas chang\u00e9 : niveaux de Cumulative Update h\u00e9t\u00e9rog\u00e8nes, incompatibilit\u00e9s de scripts avec des outils tiers, disponibilit\u00e9 des fen\u00eatres de maintenance le week-end.<\/p>\n
Pour CVE-2026-42897, l’attente est claire : patcher within 48 hours ou disposer d’un contournement compensatoire. Qui n’y parvient pas devrait au minimum retirer la composante OWA d’Internet jusqu’\u00e0 ce que le correctif soit appliqu\u00e9 proprement. C’est impopulaire sur le plan op\u00e9rationnel – mais nettement moins grave qu’un rapport d’incident en comit\u00e9 de direction.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est ferm\u00e9e. Un appui d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nUn Cumulative Update suffit-il pour combler la faille ?<\/strong><\/summary>\n
Actuellement non. Microsoft n’a, au moment de la disclosure le 14.05.2026, d\u00e9ploy\u00e9 aucun correctif de s\u00e9curit\u00e9 classique, mais une Auto-Mitigation via l’Exchange Emergency Mitigation Service. Celle-ci s’ex\u00e9cute automatiquement sur les syst\u00e8mes on-prem pris en charge ; le correctif permanent est en pr\u00e9paration. La premi\u00e8re priorit\u00e9 est donc le statut de mitigation, et non le niveau de Cumulative Update.<\/p>\n<\/details>\n
\nQue faire si la fen\u00eatre de mitigation n’est pas tenable en 48 heures ?<\/strong><\/summary>\n
La deadline CISA-KEV pour les administrations f\u00e9d\u00e9rales am\u00e9ricaines est le 29.05.2026 – un ancrage r\u00e9aliste pour les CISO de la zone DACH. Si la mitigation n’est pas en place sous 48 heures : retirer temporairement le point de terminaison OWA d’Internet (configuration du serveur web ou r\u00e8gle de pare-feu) et orienter l’acc\u00e8s messagerie via Outlook Desktop ou l’application mobile. En compl\u00e9ment, durcir les filtres de messagerie sur les sch\u00e9mas de session OWA atypiques et les r\u00e8gles Inbox nouvellement cr\u00e9\u00e9es.<\/p>\n<\/details>\n
\nExchange Online et Microsoft 365 sont-ils concern\u00e9s ?<\/strong><\/summary>\n
Selon l’\u00e9tat actuel de l’avis Microsoft, CVE-2026-42897 concerne les versions on-prem Exchange Server Subscription Edition, 2016 et 2019. Microsoft 365 est patch\u00e9 de fa\u00e7on centralis\u00e9e par le fournisseur cloud – du point de vue de l’utilisateur, aucune action n’est requise, hormis la vigilance g\u00e9n\u00e9rale face aux vagues de phishing.<\/p>\n<\/details>\n
\nComment un attaque r\u00e9ussie se manifeste-t-elle dans le SOC ?<\/strong><\/summary>\n
Indicateurs typiques : session OWA inhabituelle depuis une plage d’adresses IP g\u00e9ographiquement suspecte, r\u00e8gles Outlook nouvellement cr\u00e9\u00e9es avec transfert automatique vers des adresses externes, t\u00e9l\u00e9chargements de pi\u00e8ces jointes anormaux dans des sessions OWA, brouillons de messages destin\u00e9s \u00e0 des destinataires atypiques. Microsoft a publi\u00e9 dans l’avis des signatures IOC concr\u00e8tes – \u00e0 int\u00e9grer dans les r\u00e8gles SIEM.<\/p>\n<\/details>\n
\nQuelles r\u00e9f\u00e9rences officielles font autorit\u00e9 ?<\/strong><\/summary>\n
Les sources primaires sont l’avis du Microsoft Security Response Center relatif \u00e0 CVE-2026-42897 et l’entr\u00e9e CISA-KEV correspondante. Le BSI renvoie habituellement, dans ses mises \u00e0 jour de situation, \u00e0 de tels avis Microsoft ; les op\u00e9rateurs KRITIS devraient en outre surveiller leur propre liste de diffusion UP-KRITIS et les alertes CERT-Bund pertinentes.<\/p>\n<\/details>\n
<\/p>\n
Plus d’articles du r\u00e9seau m\u00e9dia MBF<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-platform-engineering-compliance-idp-nis2-82010065.jpg\")
<\/span>cloudmagazin<\/span>Le Platform Engineering au service de la conformit\u00e9 : les IDP imposent NIS2 et DORA<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-krisenplan-statt-krisen-pr-mittelstand-v-3796319-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Plan de crise plut\u00f4t que communication de crise : quatre d\u00e9cisions cl\u00e9s pour les PME<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-tech-mandate-aufsichtsrat-nis2-eu-ai-act-39094777-250x143.jpg\")
<\/span>Digital Chiefs<\/span>NIS2 et EU AI Act r\u00e9v\u00e8lent le d\u00e9ficit de comp\u00e9tences<\/span><\/span><\/a><\/p>\nSource de l’image : g\u00e9n\u00e9r\u00e9e par IA (juillet 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Microsoft avertit d’un probl\u00e8me de spoofing\/XSS actif dans Exchange Server. Un e-mail pr\u00e9par\u00e9 suffit pour ex\u00e9cuter du JavaScript dans le contexte du\u2026","protected":false},"author":10,"featured_media":22605,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Vuln\u00e9rabilit\u00e9 Exchange OWA","_yoast_wpseo_title":"Exploit Zero-Day CVE-2026-42897 : usurpation d\u2019OWA pousse les DSI DACH \u00e0 patcher en urgence","_yoast_wpseo_metadesc":"Microsoft alerte sur une faille OWA exploit\u00e9e (CVE-2026-42897). Correctif urgent et audit SOC sous 48h.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/exchange-zero-day-cve-2026-42897-owa-spoofing-sofort-patch-cover-hero-1.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/exchange-zero-day-cve-2026-42897-owa-spoofing-sofort-patch-cover-hero-1.jpg","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-15700","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":10,"wpml_language":"fr","wpml_translation_of":15447,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/15700","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=15700"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/15700\/revisions"}],"predecessor-version":[{"id":22804,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/15700\/revisions\/22804"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22605"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=15700"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=15700"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=15700"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- Syst\u00e8mes concern\u00e9s.<\/strong> Exchange Server Subscription Edition, Exchange Server 2016, Exchange Server 2019. Toute instance non mise \u00e0 jour avec le dernier correctif est expos\u00e9e.<\/li>\n