الثغرة الجديدة في OWA لدى Exchange تُظهر كيف يمكن لرسالة بريد إلكتروني واحدة أن تتحول إلى خطر على المتصفح

حقائق سريعة

• تؤثر CVE-2026-42897 على Exchange Server المحلي بإصدارات 2016 و2019 وSubscription Edition.
• ترتبط الثغرة بتنفيذ الشيفرات البرمجية من جهة المتصفح داخل Outlook Web Access.
• يُعد تفاعل المستخدم جزءًا من مسار الاستغلال، مما يجعل التسليم والتوقيت مهمين.
• يمكن لـ Exchange Emergency Mitigation Service من مايكروسوفت تطبيق وسائل حماية مؤقتة قبل التصحيح الكامل.
• تمت ملاحظة الثغرة في هجمات يوم الصفر قبل أن يصبح الإصلاح متاحًا على نطاق واسع.

لماذا هذا الخلل أكثر من مجرد تصحيح روتيني

عمليًا، تنتمي هذه الضعف إلى فئة إخفاقات معالجة مدخلات الويب التي تُصنف عادة ضمن هجمات XSS. وهذا يعني أن الخطر ليس بالضرورة الاستيلاء على الخادم، بل مشكلة ثقة في المتصفح. فإذا تم عرض محتوى خبيث داخل بوابة البريد، فقد يتمكن المهاجم من جعل متصفح الضحية ينفذ شفرة غير موثوقة بينما لا يزال المستخدم داخل جلسة مشروعة.

هذا التمييز مهم لفرق الدفاع. قد تفحص أدوات أمان البريد المرفقات والروابط، لكنها لا تضع دائمًا نموذجًا لما يحدث بعد وصول الرسالة إلى واجهة البريد عبر الويب. وعندما يكون OWA مكشوفًا للإنترنت، ينتقل سطح الهجوم من صندوق البريد إلى جلسة متصفح موثقة، مما قد يرفع قيمة سرقة الجلسة أو انتحال الهوية أو الخداع في واجهة المستخدم. ويعتمد الأثر اللاحق بدقة على الإعدادات وامتيازات الحساب المعني.

كما أن إطار التخفيف المؤقت من مايكروسوفت جزء من القصة. فخدمة Exchange Emergency Mitigation Service مصممة كحل مؤقت، وليست بديلًا عن التحديث الأمني. ومن الناحية التشغيلية، يعني ذلك أن على المسؤولين التحقق مما إذا كانت وسائل التخفيف مفعلة بالفعل، والتأكد من بنية الخادم ذات الصلة، والتعامل مع التخفيف كجسر نحو التصحيح لا كوجهة نهائية.

حتى وقت كتابة هذا التقرير، لم تُحدَّد المعلومات العامة بالكامل النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت أي بيانات قد سُرقت، أو ما إذا كان أي اختراق أوسع قد تلا الاستغلال الملاحظ. وتدعم المعلومات المتاحة تحليلًا للمخاطر، لا ادعاءً حاسمًا بشأن الأثر اللاحق.

بالنسبة للمدافعين، فالعبرة واضحة: عندما توجد الثغرة في البريد عبر الويب، يختفي الحد الفاصل بين أمن الرسائل وأمن الويب. ويصبح إدارة التصحيحات، ومراجعة التعرض، والتحقق من وسائل التخفيف المؤقتة كلها جزءًا من الاستجابة نفسها.

الخلاصة

تُعد CVE-2026-42897 إنذارًا مفيدًا للمؤسسات التي لا تزال تتعامل مع Exchange باعتباره خدمة خلفية بدلًا من كونه تطبيقًا مواجهًا للإنترنت. والدرس الأوسع هو أن منصات البريد أصبحت الآن على خط المواجهة في أمن المتصفحات، ويمكن حتى لرسالة واحدة أن تصبح مسار تسليم قابلًا للاستغلال عندما يكون البريد عبر الويب جزءًا من المشهد.