CVE-2026-42897
Microsoft Microsoft Exchange Server 2016 Cumulative Update 23
Resumen
Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.
Publicada: 2026-05-14 · En KEV desde: 2026-05-15
Análisis
🔴 Crítica — explotación activa
Cómo se explota: Explotable por red (accesible desde internet), sin autenticación, si la víctima interactúa (abrir archivo/clic), y con baja complejidad.
Impacto: Confidencialidad alta · Integridad alta · Disponibilidad ninguna.
Estado: Explotación activa confirmada por CISA (KEV).
- Parchea ya: está en el catálogo de explotación activa de CISA (KEV), con fecha límite.
- Reduce exposición: no lo expongas a internet; firewall, VPN o segmentación de red.
- Concienciación: el ataque necesita que la víctima interactúe (phishing/archivo).
- Detecta: convierte esta CVE en reglas de detección.
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N/E:F/RL:O/RC:C
El vector codifica cómo se explota (lo tienes traducido arriba, en el análisis). Desglósalo en la herramienta CVSS →
Fuentes: CISA KEV · EPSS · FIRST.org · NVD. Análisis derivado del vector CVSS y del estado de explotación (sin IA). Informativo; contrasta siempre con la fuente oficial del fabricante.