CSIRT Panam\u00e1 Aviso 2026-05-19 Microsoft advierte sobre vulnerabilidad Zero-Day en Exchange Server<\/p>\n\n\n\n
Gravedad: Alta
Fecha de publicaci\u00f3n: 19 de mayo de 2026
\u00daltima revisi\u00f3n: 19 de mayo de 2026<\/p>\n\n\n\n
Sistemas Afectados<\/p>\n\n\n\n
Microsoft Exchange Server<\/p>\n\n\n\n
I. Descripci\u00f3n<\/p>\n\n\n\n
Se insta a los usuarios de Microsoft Exchange Server a aplicar inmediatamente medidas de mitigaci\u00f3n ante una nueva vulnerabilidad de d\u00eda cero (zero-day) que ya est\u00e1 siendo explotada en ataques.<\/p>\n\n\n\n
Esta semana, Microsoft corrigi\u00f3 137 vulnerabilidades mediante sus actualizaciones de Patch Tuesday. Sin embargo, 48 horas despu\u00e9s, el 14 de mayo, se divulg\u00f3 una nueva vulnerabilidad de d\u00eda cero.<\/p>\n\n\n\n
La vulnerabilidad de Exchange, identificada como CVE-2026-42897, ha sido descrita como un problema de spoofing y Cross-Site Scripting (XSS) que afecta a Exchange Server Subscription Edition, 2016 y 2019.<\/p>\n\n\n\n
\u201cUna neutralizaci\u00f3n incorrecta de entradas durante la generaci\u00f3n de p\u00e1ginas web (\u2018cross-site scripting\u2019) en Microsoft Exchange Server permite que un atacante no autorizado realice spoofing a trav\u00e9s de la red\u201d, indic\u00f3 Microsoft en su aviso oficial.<\/p>\n\n\n\n
La compa\u00f1\u00eda se\u00f1al\u00f3 que la vulnerabilidad afecta a Exchange Outlook Web Access (OWA) y que un atacante puede explotarla enviando un correo electr\u00f3nico especialmente dise\u00f1ado al usuario objetivo.<\/p>\n\n\n\n
\u201cSi el usuario abre el correo electr\u00f3nico en Outlook Web Access y se cumplen ciertas condiciones de interacci\u00f3n, se puede ejecutar c\u00f3digo JavaScript arbitrario en el contexto del navegador\u201d, explic\u00f3 Microsoft.<\/p>\n\n\n\n
II. Impacto<\/p>\n\n\n\n
Spoofing a trav\u00e9s de la red.
Ejecuci\u00f3n de c\u00f3digo JavaScript arbitrario en el contexto del navegador.
Explotaci\u00f3n mediante correos electr\u00f3nicos especialmente dise\u00f1ados dirigidos a usuarios de Outlook Web Access (OWA).<\/p>\n\n\n\n
III. Referencia a soluciones, herramientas e informaci\u00f3n<\/p>\n\n\n\n
Mientras se desarrolla un parche permanente, Microsoft ha compartido algunas opciones de mitigaci\u00f3n.<\/p>\n\n\n\n
Microsoft proporcion\u00f3 la siguiente declaraci\u00f3n:<\/p>\n\n\n\n
\u201cHemos emitido el CVE-2026-42897 para abordar una vulnerabilidad de spoofing que afecta a Exchange Outlook Web Access (OWA). Recomendamos a los clientes habilitar EEMS para estar mejor protegidos y seguir nuestra gu\u00eda disponible.\u201d
<\/p>\n\n\n\n