CVE-2026-42897: presente nel catalogo CISA KEV

CVE-2026-42897 · CVSS 8.1 HIGH · KEV 2026-05-15 · patch disponibile

Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.

CVE-2026-42897 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-05-15.
• Scadenza di remediation federale: 2026-05-29.
• Oltre quella data da 154 giorni.
• Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.

Quali prodotti e versioni sono interessati?

• Microsoft · Microsoft Exchange Server 2016 Cumulative Update 23 · >= 15.01.0.0, < 15.01.2507.069
• Microsoft · Microsoft Exchange Server 2019 Cumulative Update 14 · >= 15.02.0.0, < 15.02.1544.041
• Microsoft · Microsoft Exchange Server 2019 Cumulative Update 15 · >= 15.02.0.0, < 15.02.1748.046
• Microsoft · Microsoft Exchange Server Subscription Edition RTM · >= 15.02.0.0, < 15.02.2562.043

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

Dal record CVE di Microsoft · Advisory di Microsoft

• KB5094144
• KB5094142
• KB5094140
• KB5094139

Dalla Security Update Guide di Microsoft · Advisory di Microsoft

Cosa ha pubblicato PlainSec su CVE-2026-42897

• OWA access now survives resets and reimaging (2026-07-31)

Fonti primarie

• NVD record
• CISA KEV catalog
• Microsoft KB5094139
• Microsoft advisory

Cosa questa scheda non dice

• Nessun punteggio EPSS.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-08-11.