Exchange CVE-2026-42897 : neutraliser l’exploitation active du zero-day

L’exploitation active de la CVE-2026-42897 Microsoft Exchange est désormais confirmée par Microsoft. Le zero-day, corrigé en urgence hors-cycle, est désormais utilisé en conditions réelles pour usurper l’identité d’utilisateurs internes via un simple e-mail spécialement forgé. Les serveurs Exchange on-premises des PME-ETI sont en première ligne : voici comment neutraliser la menace en moins de 24 heures.

CVE-2026-42897 Microsoft Exchange : ce que l’on sait

La CVE-2026-42897 est une faille de type spoofing qui permet à un attaquant non authentifié d’envoyer un e-mail spécialement crafté pour qu’Exchange l’interprète comme provenant d’un utilisateur légitime du domaine. L’attaque réussit dès que l’e-mail atteint la file de réception : aucune interaction utilisateur n’est requise. Microsoft a publié un correctif hors-cycle le 15 mai 2026, après confirmation d’exploitation active dans la nature via Outlook Web Access (OWA).

Les versions vulnérables incluent Exchange Server 2019 CU14/CU15 et Exchange Server 2022 RTM/CU1 en déploiement on-premises. Exchange Online n’est pas concerné. CISA a déjà ajouté la CVE à son catalogue KEV (Known Exploited Vulnerabilities) et impose un correctif sous 7 jours pour les agences fédérales américaines ; les PME-ETI ne disposent évidemment pas du même délai, mais le signal d’urgence est clair.

Pourquoi cette faille Exchange est dangereuse pour les PME-ETI

• Exploitation sans authentification : le mail forgé suffit, pas besoin de compte interne.
• Usurpation d’identité interne : l’attaquant peut se faire passer pour le PDG, le DAF ou un administrateur — vecteur direct vers le Business Email Compromise (BEC) et la fraude au virement.
• Détection difficile : l’e-mail malveillant passe les filtres SPF/DKIM/DMARC car il est réécrit en interne par Exchange.
• Surface installée importante : une part significative des PME-ETI françaises tournent encore sur Exchange on-premises pour des raisons de souveraineté ou de coût.

Patcher Exchange CVE-2026-42897 en urgence : la checklist

L’application du correctif Microsoft est la seule mesure réellement efficace. Aucune mitigation partielle (règle de transport, blocage côté EDR) ne ferme la faille — elles ne font que retarder l’inévitable.

Étape 1 — Identifier les serveurs Exchange exposés

• Inventorier tous les serveurs Exchange on-premises (DAG inclus) et leur version exacte : Get-ExchangeServer | Format-Table Name, AdminDisplayVersion.
• Vérifier l’exposition externe d’OWA et d’ECP via Shodan ou un scan externe.
• Identifier les serveurs faisant office de edge transport — ils sont prioritaires.

Étape 2 — Appliquer le correctif hors-cycle

• Télécharger le Security Update KB de mai 2026 correspondant à votre CU exacte depuis le Microsoft Update Catalog.
• Tester sur un serveur lab ou un nœud DAG en mode maintenance avant le rollout production.
• Appliquer séquentiellement sur chaque nœud DAG en respectant la procédure StartDagServerMaintenance.
• Redémarrer les services Exchange et vérifier Get-ServerComponentState avant de retirer le mode maintenance.

Étape 3 — Vérifier l’absence de compromission

• Inspecter les logs IIS d’OWA des 30 derniers jours : chercher des requêtes /owa/auth.owa avec un User-Agent non humain ou des From internes envoyés depuis des IP externes.
• Lancer le Microsoft Safety Scanner et le Exchange Server Health Checker en mode complet.
• Rechercher les indicateurs de compromission (IOCs) publiés par Microsoft Threat Intelligence — notamment les hashes de webshells déposés post-spoofing.
• Vérifier les règles de transport et les journal rules récemment modifiées : c’est un vecteur de persistance classique post-exploitation Exchange.

Étape 4 — Durcir la posture Exchange

• Activer le Extended Protection for Authentication sur tous les frontend pools.
• Désactiver l’authentification legacy (Basic Auth, NTLM v1) sur OWA et ActiveSync.
• Restreindre l’accès à ECP au réseau interne uniquement (whitelist IP au niveau du reverse proxy).
• Mettre en place une règle de transport qui ajoute un préfixe [EXTERNE] sur tout e-mail dont le From est interne mais l’Authentication-Results est externe — filet de sécurité contre le BEC.

Surveiller l’exploitation Exchange CVE-2026-42897 dans la durée

Une fois le correctif déployé, la détection continue reste indispensable. Trois axes prioritaires :

• SIEM : ingérer les logs Message Tracking + IIS + Audit Mailbox dans Wazuh, Splunk ou un Agentic SOC. Créer une règle qui alerte sur tout message From interne émis hors plage horaire et sans authentification SMTP.
• EDR : vérifier que CrowdStrike Falcon ou équivalent surveille les processus enfants de w3wp.exe sur les serveurs Exchange — toute commande PowerShell encodée ou écriture sur inetpubwwwroot doit déclencher une alerte critique.
• DMARC + MTA-STS : renforcer la politique DMARC à p=reject et déployer MTA-STS pour empêcher la sortie d’e-mails frauduleux usurpant votre domaine vers l’extérieur.

Cette CVE Exchange s’inscrit dans une série croissante de zero-days exploités avant patch public, mêmes signaux faibles, même profil d’attaquant : groupes APT et affiliés ransomware qui automatisent l’exploitation dès la disclosure. Les cycles de validation autonome continue deviennent la seule réponse défensive crédible.

Conclusion : la CVE Exchange impose la discipline du patch hors-cycle

La CVE-2026-42897 n’est pas qu’une faille de plus dans le calendrier Patch Tuesday : c’est un rappel que les correctifs hors-cycle Microsoft sont devenus la norme pour Exchange on-premises. Les PME-ETI doivent intégrer une discipline de patch out-of-band dans leur procédure standard, avec un délai cible de 48 heures maximum entre la publication du correctif et son déploiement complet. À défaut, l’écart entre la disclosure et l’exploitation se réduit désormais à moins d’une journée — et c’est l’attaquant qui dicte le calendrier.

Sources

• BleepingComputer — Microsoft warns of Exchange zero-day flaw exploited in attacks
• The Hacker News — On-Prem Microsoft Exchange Server CVE-2026-42897 Exploited via Crafted Email
• SecurityWeek — Microsoft Warns of Exchange Server Zero-Day Exploited in the Wild
• SecurityAffairs — CVE-2026-42897 Microsoft confirms active exploitation

Reporting sous 72 h, mesures de l’article 21 : ce cas relève directement des exigences NIS2. Notre page NIS2 pour les PME et ETI détaille qui est concerné et quoi faire.