Корпорація Microsoft оприлюднила офіційне попередження про виявлення та активну експлуатацію вразливості нульового дня у локальних версіях поштових серверів Exchange Server. Проблема безпеки отримала ідентифікатор CVE-2026-42897. Вона класифікується як критичний недолік типу Cross-Site Scripting та загроза спуфінгу, що охоплює версії Exchange Server Subscription Edition, 2016 та 2019 років. Атака реалізується шляхом надсилання спеціально сформованого електронного листа на цільову адресу організації. Якщо авторизований користувач відкриває цей лист через веб-інтерфейс Outlook Web Access, зловмисники отримують можливість віддалено виконати довільний код JavaScript у контексті поточного сеансу браузера.

Агентство з кібербезпеки та захисту інфраструктури США негайно додало цей ідентифікатор до каталогу відомих експлуатованих вразливостей, зобов’язавши федеральні установи впровадити тимчасові заходи захисту. Згідно з технічними даними розслідування, уразливість виникає через некоректну нейтралізацію вхідних даних під час динамічної генерації веб-сторінок сервером. Постійне оновлення безпеки на момент фіксації інцидентів перебуває у стані розробки. Повні технічні деталі про масштаби компрометації інфраструктур та конкретні хакерські угруповання, що стоять за атаками, розробником наразі не розголошуються з міркувань безпеки інформаційних систем компаній-клієнтів.