Sistemas Afectados
Microsoft Exchange Server: Versiones 2019 (Actualizaciones Acumulativas anteriores a la de mayo) y 2016. Componente específico: Outlook Web Access (OWA).
Descripción
Vulnerabilidad Cross-Site Scripting (XSS) y potencial ejecución remota que se activa sin requerir gran interacción por parte de la víctima. Un correo electrónico malicioso especialmente diseñado ejecuta código JavaScript directamente cuando el usuario visualiza el mensaje en una sesión activa de OWA. Durante las pruebas de penetración, se ha validado que los atacantes pueden aprovechar utilidades de manipulación de metadatos, como Exiftool, para ocultar *payloads* maliciosos en documentos adjuntos aparentemente inofensivos que evaden los filtros iniciales.
Recomendaciones
Aplicar de inmediato el Parche de Seguridad Acumulativo (CU) de mayo de 2026 emitido por Microsoft para Exchange Server.
Reforzar las reglas del Web Application Firewall (WAF) corporativo para inspeccionar y bloquear secuencias de comandos anómalas dirigidas a los directorios virtuales de OWA.
Concienciar al personal sobre la apertura de correos no solicitados, incluso si solo se visualizan desde el navegador.
Referencias
Información de la Alerta
VENCERT-2026-020
🟠 Alta
En seguimiento
CVE-2026-42897
June 1, 2026