Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-79

CVE-2026-42897

Microsoft Exchange Server'da kimlik taklidine yol açan siteler arası betik çalıştırma (XSS) açığı

Microsoft Exchange Server 2016 Cumulative Update 23Microsoft Exchange Server 2019 Cumulative Update 14Microsoft Exchange Server 2019 Cumulative Update 15

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
166 gün
Kaydı açan
microsoft
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 May 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 29 May 2026.

ÖzetTürkçe

Microsoft Exchange Server'da web sayfası oluşturma sırasında girdilerin uygun şekilde temizlenmemesi ('siteler arası betik çalıştırma' - XSS) nedeniyle, yetkisiz bir saldırgan ağ üzerinden kimlik taklidi (spoofing) gerçekleştirebilir.

Kaynaktaki açıklama (İngilizce)

Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler4 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Microsoft Exchange Server 2016 Cumulative Update 23 ≥ 15.01.0.0, < 15.01.2507.069 15.01.2507.069
Microsoft Exchange Server 2019 Cumulative Update 14 ≥ 15.02.0.0, < 15.02.1544.041 15.02.1544.041
Microsoft Exchange Server 2019 Cumulative Update 15 ≥ 15.02.0.0, < 15.02.1748.046 15.02.1748.046
Microsoft Exchange Server Subscription Edition RTM ≥ 15.02.0.0, < 15.02.2562.043 15.02.2562.043

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.