Microsoft Exchange, una falla può svelare le email dei colleghi

Un messaggio preparato ad arte può trasformare Outlook Web Access in un punto d’ingresso per codice JavaScript. La vulnerabilità CVE-2026-42897 riguarda le installazioni aziendali di Microsoft Exchange e, in determinate condizioni, può esporre le email dei colleghi attraverso l’account o la sessione di chi apre il messaggio. Non rende però accessibili tutte le caselle in automatico: servono l’interazione dell’utente e una serie di condizioni.

La mail è l’innesco, non una chiave universale

Una mail preparata ad arte può trasformare OWA, la versione web della posta aziendale, in un punto d’ingresso. La vulnerabilità sfrutta tecniche di spoofing e cross-site scripting (XSS): se il destinatario apre il messaggio e compie determinate azioni, uno script può essere eseguito nel browser. A quel punto, la posta non è più soltanto una pagina da leggere.

La falla è identificata come CVE-2026-42897 e ha un punteggio CVSS di 8,1. Le segnalazioni parlano anche di sfruttamento attivo, ma le informazioni pubbliche non ricostruiscono ogni passaggio dell’attacco. Insomma, non è una porta spalancata.

La distinzione è importante: non è dimostrato che il difetto, da solo e senza altre condizioni, consenta di scaricare tutte le email dell’organizzazione. Uno script eseguito nella sessione della vittima può però esporre dati o facilitare il furto della sessione, aprendo la strada alla casella. È come sfilare una chiave dalla scrivania, non procurarsi il passepartout dell’intero edificio.

Il rischio per la riservatezza è concreto; l’esfiltrazione, invece, non è automatica. Se usi OWA, il pericolo dipende da cosa riesce a fare l’attaccante dopo che hai aperto il messaggio.

Exchange installato in azienda: il perimetro da controllare

Le versioni indicate come interessate sono Exchange Server 2016, 2019 e Subscription Edition, installate e gestite direttamente dall’organizzazione. Exchange Online, stando alle informazioni disponibili, non risulta coinvolto. Prima di allarmare i colleghi, conviene verificare quale ambiente usa davvero l’azienda.

Per l’attacco descritto non basta che esista una casella: il messaggio deve raggiungere un utente, essere aperto in OWA e richiedere le interazioni previste. È una catena di passaggi, non un interruttore. Questo ridimensiona gli allarmi generici, ma non rende innocua la falla.

Microsoft ha pubblicato un aggiornamento di sicurezza. La priorità è identificare i server interessati e installare la correzione prevista per ciascuna versione: il fatto che «la posta funzioni» non è una verifica. Una volta completata l’installazione, Microsoft raccomanda di eseguire Exchange Server Health Checker per controllare lo stato del server.

OWA merita un’attenzione particolare: è la vetrina web della casella e, in questo caso, la superficie d’attacco. Se non sai quale edizione di Exchange usa la tua azienda, chiedilo al team IT. Meglio verificare che tirare a indovinare.

Patch e controlli: cosa fare prima che una sessione venga svelata

Per chi gestisce l’IT, i passaggi sono chiari: censire le versioni, verificare l’aggiornamento Microsoft, installarlo e poi avviare Health Checker. Non basta spuntare una casella nel registro delle attività: bisogna confermare che la correzione sia stata applicata al server giusto. La fretta, senza una verifica, lascia la porta socchiusa.

Le fonti consultate non riportano indicatori di compromissione specifici né prove pubbliche approfondite dell’exploit. Questo limita le verifiche basate su firme già note, ma non impedisce di controllare gli accessi a OWA e segnalare eventuali attività anomale al gruppo sicurezza. Meglio un controllo mirato che una caccia al fantasma.

Per gli utenti, la regola è semplice: non aprire link o contenuti inattesi nei messaggi sospetti e inoltrare la mail al canale aziendale previsto, senza cancellarla prima che l’IT possa esaminarla. Hai già interagito con un messaggio sospetto? Avvisa subito il supporto. Il silenzio aiuta chi vuole sfruttare una sessione compromessa.

La priorità è correggere Exchange, non scaricare tutta la responsabilità su chi legge la posta. Se una vulnerabilità può trasformare una casella fidata in una finestra aperta sull’attaccante, la patch è la serratura da cambiare.

Anna Kuliscioff

Anna è una voce appassionata del blog “Radici Ribelli”, dove intreccia con dolcezza l’arte della cucina con riflessioni vivaci su libertà e uguaglianza. Con il cuore anarchico e lo spirito femminista, Anna trasforma ogni ricetta in un gesto di rivoluzione e speranza.