Microsoft, şirket içi (on-premises) Exchange sunucularını etkileyen yüksek önem dereceli bir zero-day güvenlik açığı konusunda uyarıda bulundu. CVE-2026-42897 olarak izlenen bu açık, Outlook kullanıcısına özel hazırlanmış bir e-posta gönderilmesi yoluyla saldırganın kurbanın sistemine keyfi kod göndermesine olanak tanıyor. Güvenlik açığı, Exchange Server'da web sayfası oluşturma sırasında girdinin yanlış nötrleştirilmesinden (cross-site scripting - XSS) kaynaklanıyor ve yetkisiz bir saldırganın ağ üzerinde kimlik sahtekarlığı yapmasına izin veriyor.
14 Mayıs'ta duyurulan bu yüksek önem dereceli güvenlik açığı (CVSS puanı 8.1), Exchange Server'ın şirket içi sürümlerini etkiliyor: Exchange Server 2016'nın tüm sürümleri, Exchange Server 2019'un tüm sürümleri ve Exchange Server Subscription Edition (SE) sürümleri. Açık, Exchange Online'ı etkilemiyor. Microsoft henüz bir yama yayınlamadı ancak geçici çözümler mevcut.
Microsoft, güvenlik açığı için yama yayınlanana kadar iki geçici çözüm öneriyor. İlk seçenek, Exchange Acil Azaltma (EM) Hizmeti'ni kullanmak. Varsayılan olarak etkin olan bu hizmet, azaltmayı otomatik olarak uyguluyor. Yöneticiler, uygulanan azaltmaları belgeler aracılığıyla kontrol edebilir veya Exchange Health Checker betiğini çalıştırarak EM Hizmeti durumunu hızlıca sorgulayabilir. Microsoft, EM Hizmeti devre dışıysa etkinleştirilmesini şiddetle tavsiye ediyor. Ancak, Mart 2023'ten eski sürümler bu hizmet aracılığıyla yeni azaltmalar alamıyor.
İkinci azaltma seçeneği, bağlantısı kesilmiş veya hava boşluğu olan ortamlar gibi EM Hizmeti'nin kullanılamadığı durumlar için tasarlanmış. Yöneticiler, Exchange Şirket İçi Azaltma Aracı'nın (EOMT) en son sürümünü indirip yükseltilmiş Exchange Yönetim Kabuğu'ndan PowerShell betiğini çalıştırarak azaltmayı manuel olarak uygulayabilir. Microsoft, her iki azaltma önleminin de OWA Takvim Yazdırma, Satır içi görseller gibi özellikleri devre dışı bırakma veya bozma gibi sorunlara yol açabileceğini kabul ediyor. Şirket, etkilenen Exchange sunucuları için güvenlik yamaları üzerinde çalışıyor. Exchange SE güncellemesi herkese açık olarak yayınlanırken, Exchange 2016 ve 2019 güncellemeleri yalnızca Dönem 2 Exchange Sunucusu ESU programına kayıtlı müşterilere sunulacak.
