Microsoft

Microsoft ka krijuar një dobësi të përdorshme aktive të serverit Exchange që lejon aktorët kërcënues të ekzekutojnë kodin arbitrar JavaScript në sulmet me script (XSS) që synojnë përdoruesit e Outlook Web Access.

Kjo dobësi e shkallës së lartë spoofing (CVE-2026-42897 ) prek serverin Exchange 2016, serverin Exchange 2019 dhe programin e Subscription Server Exchange (SE) dhe mund të shfrytëzohet nga sulmuesit e largët pa privilegje.

“Një sulmues mund ta shfrytëzojë këtë çështje duke i dërguar një email të ndërtuar posaçërisht një përdoruesi. Në qoftë se përdoruesi hap e-mailin në Outlook Web Access dhe përmbushen disa kushte bashkëveprimi, JavaScript arbitrare mund të ekzekutohet në kontekstin e shfletuesit,” tha Ekipi i Exchange në mes të majit, kur Microsoft nxorri një lehtësim automatik të përkohshëm nëpërmjet Shërbimit të Miigacionit të Emergjencës së Exchange (EEMS).

Blerës i Komputerit duhet të marrë ende një përgjigje nga Microsoft për pyetjet rreth sulmeve që shfrytëzojnë CVE-2026-42897.

Dje, Microsoft lëshoi të dhënat e sigurisë për të trajtuar të metat e sigurisë në instalimin e server-it Exchange të prekur, duke këshilluar admins t’i vendosë ato “sa më shpejt të jetë e mundur” dhe të lënë zbutjen në vend për mbrojtje shtesë.

“Microsoft rekomandon instalimin e përditësimeve të Sigurisë të qershorit 2026 për versionin tuaj të serverit Exchange sa më parë të jetë e mundur për t’u mbrojtur nga kjo dobësi,” vuri në dukje ai në një përditësim të këshillimit origjinal të sigurisë.

“Si pjesë e përpjekjeve tona në vazhdim për të forcuar sigurinë dhe për të përmirësuar mbrojtjen anembanë mjediseve, ne vazhdojmë të përmirësojmë mbrojtjen për sulmet ndër-site me shkrim. Ne rekomandojmë që klientët të mbajnë zbutjen e përshkruar. Lehtësimi ofron një shtresë shtesë mbrojtjeje dhe ndihmon në sigurimin e mbrojtjes së vazhdueshme pasi janë lëshuar përmirësime të mëtejshme.”

Agjensia e Sigurisë në Internet dhe Infrastrukturë ka shtuar gjithashtu vulnerabilitetin në listën e të metave të sigurisë të shfrytëzuara në natyrë më 15 maj dhe ka urdhëruar agjencitë qeveritare të SHBA-së për të lidhur serverat e tyre brenda dy javësh, deri në maj 29.

Gjatë pesë viteve të fundit, CIMA ka shtuar 20 dobësi të server-it të Microsoft Exchange në listën e të metave të sigurisë së shfrytëzuar, me banda të gjenerave që kanë shfrytëzuar 14 prej tyre.

Në tetor, javë pasi Exchange 2016 dhe 2019 arritën në fund të mbështetjes , CIMA dhe Agjensia Kombëtare e Sigurisë (NSA) lëshuan gjithashtu udhëzime për forcimin e serverave Exchange kundër sulmeve.

Kontrollo çdo shtresë para se sulmuesit të bëjnë

Ekipet e sigurisë arrijnë në 54% të sulmeve të suksesshme dhe paralajmërojnë vetëm 14%. Pjesa tjetër lëviz nëpër mjedisin tuaj të padukshëm.

Letra e bardhë e Picus tregon se si shkelja dhe simulimi i sulmit teston SIM-in dhe rregullat e EDR-së në mënyrë që kërcënimet të ndalen së rrëshqituri duke zbuluar.

Mikrosofta të verdha, GreenPlasma, MiniPlasma zero ditë

Microsoft paralajmëron për të meta zero ditore Exchange të shfrytëzuara në sulme

Google rregullon një të shfrytëzuar aktivisht Android zero-ditë, 124 të meta

Microsoft 2026 prill 2026 Pozicioni rregullon 167 të meta, 2 zero ditë

Microsoft 2026 March Patch të martën rregullon 2 zero ditë, 79 të meta