La falla sfruttata sul campo e il dettaglio che molti stanno riportando male
Una semplice email visualizzata attraverso Outlook Web Access può diventare il punto di ingresso per un attacco informatico. È questo lo scenario legato a CVE-2026-42897, una delle vulnerabilità Microsoft Exchange più interessanti emerse nel 2026, non soltanto per la sua gravità tecnica, ma soprattutto perché è stata sfruttata attivamente in attacchi reali.
La falla interessa Outlook on the web (OWA) nelle installazioni Microsoft Exchange Server on-premises ed è classificata come vulnerabilità Cross-Site Scripting (XSS). Il problema nasce da una gestione non corretta di determinati contenuti HTML durante la generazione delle pagine Web.
In pratica, un aggressore può preparare un messaggio email appositamente manipolato e inviarlo alla vittima. Quando il messaggio viene aperto tramite OWA, in determinate condizioni può essere eseguito codice JavaScript controllato dall’attaccante all’interno del browser.
Ed è proprio questo il particolare più preoccupante: non siamo necessariamente davanti al classico phishing nel quale l’utente deve scaricare un allegato, eseguire un programma o seguire volontariamente un collegamento sospetto. L’interazione richiesta può essere estremamente limitata.
La vulnerabilità coinvolge Exchange Server 2016, Exchange Server 2019 ed Exchange Server Subscription Edition, compresi gli ambienti Hybrid nei quali siano ancora presenti server Exchange locali. Exchange Online, invece, viene protetto direttamente dall’infrastruttura Microsoft.
Microsoft assegna a CVE-2026-42897 un CVSS 3.1 di 8.1, classificazione HIGH, ma il dato realmente significativo è un altro: CISA ha inserito rapidamente la falla nel catalogo Known Exploited Vulnerabilities (KEV), confermando l’esistenza di sfruttamento nel mondo reale.
Nel luglio 2026 Proofpoint ha inoltre documentato una campagna attribuita al gruppo TA488, conosciuto anche come Void Blizzard o Laundry Bear, nella quale CVE-2026-42897 veniva utilizzata come vettore iniziale. Gli attacchi hanno coinvolto organizzazioni governative e aziende appartenenti a diversi settori strategici.
Durante le analisi è stato individuato anche OWAReaper, un impianto JavaScript progettato per operare nell’ambiente Outlook Web Access. Un elemento che rende particolarmente importante controllare non soltanto lo stato degli aggiornamenti, ma anche eventuali attività sospette precedenti alla loro installazione.
Attenzione: la patch non è arrivata a luglio
Su questo punto diversi articoli stanno creando confusione.
Quando CVE-2026-42897 è stata resa pubblica, Microsoft ha inizialmente distribuito una mitigazione temporanea attraverso Exchange Emergency Mitigation Service (EEMS).
Ma la correzione vera e propria della vulnerabilità è arrivata con il Security Update di giugno 2026.
Gli aggiornamenti di luglio non rappresentano quindi la prima patch della falla. Con il Security Update di luglio 2026, Microsoft ha invece comunicato che, sui sistemi correttamente aggiornati, la precedente mitigazione EEMS poteva essere rimossa.
La cronologia corretta è quindi molto semplice:
maggio: mitigazione EEMS → giugno: patch della vulnerabilità → luglio: possibilità di rimuovere la mitigazione.
Una distinzione tutt’altro che formale: mitigare una falla significa ridurne temporaneamente la possibilità di sfruttamento; installare una patch significa correggere il problema nel software.
Per gli amministratori Exchange la priorità è quindi verificare gli aggiornamenti installati, controllare eventuali vecchie mitigazioni ancora presenti e analizzare i log dei sistemi rimasti esposti prima dell’applicazione delle patch.
CVE-2026-42897 ricorda ancora una volta una regola fondamentale: quando un server Exchange è esposto a Internet, patchare velocemente non è semplice manutenzione. È sicurezza perimetrale.
