Spreparowana wiadomość otwarta w Outlook Web Access uruchamia kod napastnika w sesji pracownika. CISA potwierdza ataki. Sprawdź wersję Exchange, obejście M2.1 i zainstaluj poprawkę.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują pocztę na własnym serwerze Microsoft Exchange i udostępniają pracownikom Outlook Web Access (OWA). Werdykt: jeśli Twój Exchange 2016, 2019 lub Subscription Edition nie ma poprawki z maja lub lipca 2026 roku, zainstaluj ją albo co najmniej sprawdź dziś, czy działa obejście awaryjne, bo luka jest aktywnie wykorzystywana.
Amerykańska agencja CISA 15 maja 2026 roku dopisała podatność CVE-2026-42897 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w Outlook Web Access, czyli poczcie Exchange otwieranej w przeglądarce. Spreparowana wiadomość e-mail, otwarta w OWA przy spełnieniu określonych warunków interakcji, uruchamia w przeglądarce odbiorcy kod JavaScript przysłany przez napastnika.
Termin naprawy wyznaczony przez CISA agencjom federalnym USA minął 29 maja 2026 roku, prawie cztery miesiące temu. Poczta w chmurze Microsoftu (Exchange Online) nie jest podatna; problem dotyczy wyłącznie serwerów utrzymywanych we własnej serwerowni lub u dostawcy hostingu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-42897 |
Data dodania do CISA KEV | 2026-05-15 |
Termin naprawy wg CISA | 2026-05-29 (14 dni od wpisu) |
Produkt | Microsoft Exchange Server, interfejs Outlook Web Access (OWA) |
Wersje zagrożone | Exchange Server 2016 (każda aktualizacja zbiorcza, CU), Exchange Server 2019 (każda CU), Exchange Server Subscription Edition przed kompilacją 15.02.2562.043. Atak wymaga otwarcia wiadomości w OWA; Exchange Online nie jest podatny |
Wersje bezpieczne | Subscription Edition RTM: KB5094139, kompilacja 15.02.2562.043. Exchange 2019 CU15: KB5094140, kompilacja 15.02.1748.046. Exchange 2019 CU14: KB5094142, kompilacja 15.02.1544.041. Exchange 2016 CU23: KB5094144, kompilacja 15.01.2507.069. Poprawki dla 2016 i 2019 tylko w programie rozszerzonych aktualizacji bezpieczeństwa (ESU, okres 2). Microsoft zaleca też lipcowe aktualizacje zabezpieczeń Exchange (rewizja z 14 lipca 2026 roku) |
Typ podatności | Cross-site scripting (wstrzyknięcie skryptu do strony) prowadzący do podszycia się; CWE-79 |
Ocena CVSS | Microsoft: 8.1 (CVSS 3.1, wysoka punktacja, waga wg producenta: krytyczna). NVD: 6.1 (CVSS 3.1, ŚREDNIA). Obie: atak przez sieć, bez uprawnień, wymaga jednej czynności użytkownika |
Wyobraź sobie sekretariat, w którym asystentka otwiera każdy list i czyta go na głos szefowi. Pewnego dnia przychodzi list, w którym między zwykłymi zdaniami ukryto polecenie: „Przeczytaj też głośno hasło do sejfu i zanieś kopię klucza na portiernię”. Asystentka nie odróżnia treści listu od poleceń, więc wykonuje je automatycznie, a wszyscy w biurze widzą, że robi to zaufana osoba.
Tak działa ten błąd. Serwer Exchange buduje stronę z wiadomością i wstawia do niej treść od nadawcy bez odpowiedniego oczyszczenia. Przeglądarka pracownika traktuje ukryty w e-mailu fragment jako część strony i go uruchamia. Kod działa w sesji pracownika, z jego uprawnieniami i pod jego nazwiskiem: może czytać skrzynkę, wysyłać wiadomości i zmieniać reguły przekierowań. Nie trzeba klikać w link ani otwierać załącznika.
💡 Cross-site scripting (XSS) to błąd, w którym strona internetowa wyświetla dane od obcej osoby w taki sposób, że przeglądarka wykonuje je jak program. OWA (Outlook Web Access) to poczta Exchange w przeglądarce. Spoofing (podszycie się) to działanie w cudzym imieniu. Content Security Policy (CSP) to instrukcja dla przeglądarki, jakich skryptów nie wolno jej uruchamiać. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera e-mail od obcego nadawcy w OWA | Widzi treść, nic więcej się nie dzieje | W przeglądarce może uruchomić się kod napastnika |
Szkolenie „nie otwieraj załączników” | Chroni przed większością ataków e-mailowych | Nie pomaga, wystarczy otwarcie samej wiadomości |
Wysyłka wiadomości z konta księgowej | Tylko księgowa | Także skrypt działający w jej sesji |
Reguły przekierowania poczty | Ustawia właściciel skrzynki lub IT | Mogą zostać po cichu dodane |
Filtr antyspamowy wobec fałszywej prośby o zmianę konta | Często wyłapuje obcy adres | Nie ma czego wyłapać, wiadomość wychodzi z prawdziwej skrzynki |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik nie potrzebuje konta w firmie, ale musi skłonić pracownika do otwarcia wiadomości w OWA, więc atak jest wymierzony w konkretne osoby, najczęściej te, które zajmują się płatnościami lub mają szerokie uprawnienia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie firm z publicznie dostępnym OWA i ustalenie adresów e-mail księgowości, zarządu, IT | Lista celów i skrzynek |
2. Wysyłka | T+30 min | Wysłanie spreparowanej wiadomości z ukrytym skryptem | E-mail czeka w skrzynce ofiary |
3. Otwarcie | T+kilka godzin | Pracownik otwiera wiadomość w OWA, w przeglądarce uruchamia się skrypt | Napastnik działa w sesji pracownika |
4. Utrwalenie | T+kilka minut od otwarcia | Dodanie reguły przekierowania kopii poczty na zewnętrzny adres, odczyt skrzynki | Stały podgląd korespondencji |
5. Obserwacja | T+1 do 14 dni | Poznawanie kontrahentów, faktur i stylu pisania | Przygotowany wiarygodny scenariusz oszustwa |
6. Uderzenie | T+2 do 4 tygodni | Wiadomość z prawdziwej skrzynki, w istniejącym wątku, o „zmianie numeru konta” | Przelew na rachunek przestępców |
Poczta to miejsce, w którym zapadają decyzje o płatnościach i krążą dane osobowe. Atak nie niszczy serwera i nie wywołuje alarmu: wszystko dzieje się „rękami” pracownika, więc wykrycie go bywa bardzo spóźnione.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokowanie skrzynek, zmiana haseł, praca działu finansów wstrzymana na czas analizy | Godziny do dni od wykrycia | 10 tys. do 60 tys. PLN (czas pracy, wsparcie zewnętrzne) |
Bezpieczeństwo danych | Odczyt i wyciek korespondencji, umów, danych osobowych klientów i pracowników | Minuty od otwarcia wiadomości | 30 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelew na fałszywy rachunek, zwykle pełna wartość faktury | Dni do tygodni | 20 tys. do 500 tys. PLN, zależnie od wartości faktur |
Reputacyjny | Kontrahenci oszukani wiadomościami z Twojej domeny tracą zaufanie | Tygodnie | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z kontrahentami o odpowiedzialność za przelew | 72 godziny od wykrycia, spory przez miesiące | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Exchange on-premises i OWA bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka jest potwierdzona w atakach, a skutkiem jest pełny dostęp do skrzynki i oszustwa na przelewach; nie jest maksymalne, bo napastnik musi skłonić pracownika do otwarcia wiadomości w OWA i nie przejmuje od razu całego serwera.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję i kompilację każdego serwera Exchange oraz czy OWA jest dostępne z internetu | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy usługa Exchange Emergency Mitigation Service jest włączona i założyła obejście M2.1; na serwerach bez internetu uruchomić skrypt EOMT.ps1 z parametrem CVE-2026-42897 | Dziś | Administrator poczty |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy firma ma wykupiony program ESU (okres 2) dla Exchange 2016/2019; jeśli tak, pobrać poprawkę dla swojej CU | Dziś | CTO / dział zakupów |
4 | 🟠 PILNIE | Zainstalować poprawkę (KB z sekcji 1 lub lipcową aktualizację zabezpieczeń) w oknie serwisowym z restartem serwera | Do 3 dni | Administrator poczty / partner IT |
5 | 🟠 PILNIE | Przejrzeć reguły przekierowań i skrzynek od maja 2026 roku, zwłaszcza w finansach i zarządzie | Do 7 dni | Dział IT |
6 | 🟠 PILNIE | Wprowadzić zasadę: każda zmiana rachunku kontrahenta potwierdzana telefonicznie pod numerem z umowy | Do 7 dni | CFO |
7 | 🟡 WAŻNIE | Po instalacji poprawki usunąć reguły IIS założone przez obejście M2.1.0 lub wycofać obejście ze skryptu | Po aktualizacji | Administrator poczty |
8 | 🟡 WAŻNIE | Jeśli brak ESU: przyjąć harmonogram przejścia na Subscription Edition lub Exchange Online | Do 30 dni | Zarząd / CTO |
Microsoft wydał poprawki, ale dla Exchange 2016 i 2019 są one dostępne tylko w programie ESU. Firmy bez ESU nie dostaną łatki wcale. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Obejście M2.1 przez Exchange Emergency Mitigation Service lub skrypt EOMT.ps1 (zalecenie producenta) | Wysoka w nowoczesnych przeglądarkach; brak ochrony w Internet Explorerze i Edge w trybie zgodności z IE | Łatwa, ale wyłącza wydruk kalendarza, OWA Light, publikowane kalendarze (błąd 500) i psuje wyświetlanie osadzonych obrazów |
Wyłączenie trybu zgodności z Internet Explorerem dla adresu OWA | Wysoka jako uzupełnienie obejścia | Średnia: może wymagać zmian w starych aplikacjach |
Ograniczenie dostępu do OWA z internetu (tylko VPN lub znane adresy) | Średnia: zawęża grono ofiar, nie usuwa luki | Średnia: utrudnia pracę mobilną |
Przeniesienie użytkowników na klienta Outlook lub Exchange Online | Wysoka dla przeniesionych osób | Trudna jako działanie doraźne |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Otwarcie złośliwej wiadomości w OWA | Może uruchomić kod napastnika | Poprawka lub obejście blokuje wykonanie skryptu |
Ochrona w trybie zgodności z IE | Brak | Tryb wyłączony lub serwer załatany |
Funkcje OWA | Pełne | Przy obejściu część funkcji wyłączona; po poprawce i zdjęciu obejścia znów pełne |
Przelewy do kontrahentów | Zmiana konta na podstawie e-maila | Zmiana konta tylko po telefonicznym potwierdzeniu |
Status wobec terminu CISA | Zaległość od 29 maja 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: wykorzystywanie aktywne, wpływ techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 wg Microsoft (CVSS 3.1, waga: krytyczna); 6.1 ŚREDNIA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie PoC; w ocenie czasowej Microsoft wskazuje, że istnieje działający sposób wykorzystania |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,70307 (ok. 70% szans na próby wykorzystania w 30 dni), percentyl 0,99353, odczyt z 23 sierpnia 2026 roku |
Powiązana luka | CVE-2026-55008, również zamykana lipcowymi aktualizacjami zabezpieczeń Exchange |
Różnica ocen wynika z oceny skutków: Microsoft zakłada wysoki wpływ na poufność i integralność skrzynki, NVD niski, ale z wyjściem poza zaatakowany komponent. Producent zna kod, więc do decyzji lepiej przyjąć ocenę wyższą.
Sygnały zagrożenia dla CVE-2026-42897
CVSS 3.1 (Microsoft) 8.1/10 ████████████████░░░░ wysoka
CVSS 3.1 (NVD) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~70% ██████████████░░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05-14 Publikacja CVE-2026-42897 (NVD), biuletyn Microsoft
2026-05-15 CISA dodaje lukę do katalogu KEV
2026-05-29 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
2026-07-14 Rewizja Microsoft: zalecenie lipcowych aktualizacji Exchange
2026-08-23 Odczyt EPSS: 0,70307
... prawie 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897 . Opis usługi obejść awaryjnych: Exchange Emergency Mitigation Service . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-42897 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) utrzymuje własny serwer Exchange i OWA | CTO | DZISIAJ |
2 | Uzyskać na piśmie wersję, CU i kompilację każdego serwera oraz status obejścia M2.1 | CTO | DZISIAJ |
3 | Sprawdzić, czy firma ma ESU dla Exchange 2016/2019 | CFO | DZISIAJ |
4 | Zatwierdzić okno serwisowe z restartem serwera poczty i komunikat dla pracowników | CTO | DO JUTRA |
5 | Wprowadzić obowiązkowe telefoniczne potwierdzanie zmian rachunków kontrahentów | CFO | DO JUTRA |
6 | Zlecić przegląd reguł przekierowań w skrzynkach finansów i zarządu | CTO | DO JUTRA |
7 | Zarezerwować budżet na migrację, jeśli ESU nie ma i poprawka jest niedostępna | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja, CU i numer kompilacji każdego naszego serwera Exchange? | [wersja / kompilacja] | 🔴 |
2 | Czy OWA jest dostępne z internetu bez VPN? | TAK / NIE | 🔴 |
3 | Czy obejście M2.1 jest aktywne na każdym serwerze? | TAK / NIE | 🔴 |
4 | Czy mamy ESU dla Exchange 2016/2019 i kiedy zainstalowano poprawkę? | TAK / NIE, [data] | 🔴 |
5 | Czy któryś pracownik otwiera OWA w Internet Explorerze lub Edge w trybie zgodności z IE? | TAK / NIE | 🟠 |
6 | Czy przejrzano reguły przekierowań skrzynek od 15 maja 2026 roku i co wykazano? | TAK / NIE, [data] | 🟠 |
7 | Czy po aktualizacji usunięto reguły IIS obejścia M2.1.0? | TAK / NIE | 🟡 |
CVE-2026-42897 pozwala uruchomić kod napastnika w przeglądarce pracownika, który otworzy spreparowaną wiadomość w Outlook Web Access, i działać w jego imieniu w skrzynce. CISA potwierdza ataki, termin naprawy minął 29 maja 2026 roku, a dla Exchange 2016 i 2019 poprawka jest tylko w programie ESU, więc dziś trzeba sprawdzić wersję i obejście, a w tym tygodniu zainstalować poprawkę lub podjąć decyzję o migracji.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.