CVE-2026-42897：Exchange OWA XSS 修補版本與緩解處置

重點摘要

CVE-2026-42897 是 Microsoft Exchange Server 的 OWA 跨站指令碼（XSS）漏洞，CVE 名稱為 Spoofing Vulnerability，CVSS 3.1 為 8.1（High）。Microsoft 指出，攻擊者可寄送特製郵件；收件者在 Outlook on the web（OWA）開啟郵件並符合特定互動條件時，可能在瀏覽器內容執行 JavaScript。此漏洞已列入 CISA KEV，代表有已知遭利用紀錄。

影響範圍與修補版本

Microsoft 的 CVE 資料列出 Exchange Server 2016 CU23、Exchange Server 2019 CU14/CU15，以及 Exchange Server Subscription Edition RTM。雲端 Exchange Online 不受此漏洞影響。修補已隨 2026 年 6 月 9 日安全更新發布；應依實際版本安裝對應套件，並核對更新後 build number。

• Exchange Server SE RTM：安裝 KB5094139。
• Exchange Server 2019 CU15：安裝 KB5094140；CU14：安裝 KB5094142。
• Exchange Server 2016 CU23：安裝 KB5094144。

Exchange 2016/2019 的相關更新僅提供給符合條件的 Period 2 ESU 客戶；Exchange SE 更新公開提供。若仍在使用 2016/2019，請同時確認 ESU 資格與產品支援規劃。

利用與風險判讀

CISA 於 2026 年 5 月 15 日將此 CVE 加入 KEV，期限欄為 5 月 29 日。這表示已有已知利用證據，應列為高優先級修補事件；但 KEV 收錄本身不代表你的環境已遭入侵，也不提供足以還原攻擊者、郵件樣本或特定 payload 的細節。不要把公開描述擴寫成未經來源支持的利用鏈。

緩解措施的時程

Microsoft 在 5 月先提供 Exchange Emergency Mitigation（EM）服務可套用的 M2.1.x IIS 規則。6 月安全更新修補了 CVE，但當時 Microsoft 建議短期保留緩解措施；安裝更新不會自動移除既有規則。Microsoft 於 7 月發布更新後，表示已可移除 CVE-2026-42897 緩解措施，以解除其已知相容性問題。

維運時先確認所有 Exchange 節點都已安裝適用更新，再依 Microsoft 指引移除 EM 套用的 M2.1.0 IIS 規則，或回復 EOMT 腳本套用的緩解。若尚未修補的節點仍需緩解，不要先移除該節點的保護。混合環境需逐台盤點，並檢查 OWA、行事曆、OWA Light 及監控告警是否恢復正常。

處置與驗證清單

1. 盤點所有內部 Exchange Server、版本、CU/SU、build number 與是否對外提供 OWA；Exchange Online 不在此 CVE 的影響範圍。
2. 依 Exchange 版本安裝 2026 年 6 月安全更新或更新版本；確認安裝成功、服務正常，並記錄更新後 build。
3. 確認 EM/EOMT 的 CVE-2026-42897 緩解狀態；更新後依 Microsoft 7 月指引移除已不需要的 M2.1.x 緩解，避免殘留 IIS URL Rewrite 規則。
4. 回溯 OWA 郵件存取、使用者回報、可用的 IIS/HttpProxy 與郵件稽核記錄，尋找異常郵件互動、帳號活動或信箱規則變更。記錄保留與欄位依環境而異，單靠掃描或未發現告警不能證明過去未遭利用。
5. 如發現可疑帳號或信箱規則，保全記錄、重設受影響憑證、撤銷工作階段並依事件應變程序調查；不要把尚無官方發布的 IOC 當成確定指標。

本文查核範圍

本文依 Microsoft CVE 頁面、Exchange Team 更新公告與 Microsoft Support 套件說明整理。KEV 用來確認已知利用狀態；修補版本以 Microsoft 對應更新頁及本機 build number 為準。Microsoft 公告沒有提供可通用於所有環境的入侵 IOC，因此偵測項目屬調查方向，不是此漏洞的專屬簽章。

參考來源

• Microsoft Security Response Center：CVE-2026-42897
• Microsoft Exchange Team：CVE-2026-42897 緩解與後續更新
• Microsoft Exchange Team：2026 年 6 月安全更新
• Microsoft Exchange Team：2026 年 7 月安全更新與移除緩解說明
• Microsoft Support：Exchange Server SE 2026 年 6 月更新 KB5094139
• Microsoft Support：Exchange Server 2019 CU14 更新 KB5094142
• CISA Known Exploited Vulnerabilities Catalog
• 本站漏洞預警文章