CVE-2026-70279: XSS-Spoofing dans Microsoft Exchange Server
Ce texte a été généré par l'intelligence artificielle (IA).Microsoft a publié la vulnérabilité le 13 octobre 2026 CVE-2026-70279 pour Microsoft Exchange Server. La vulnérabilité est notée avec un score de base CVSS de 9,3 (Temporaire: 8,1) évaluée. Microsoft la classe comme Importante et évalue une exploitation comme „Exploitation Plus Probable“.
CVE-2026-70279 concerne le traitement des entrées lors de la génération de pages web. La classe de vulnérabilité sous-jacente est CWE-79: Cross-Site Scripting. L'attaque est basée sur le réseau et nécessite une interaction de l'utilisateur. Selon Microsoft MSRC, les attaquants peuvent inciter une victime à cliquer sur un lien piégé par ingénierie sociale.
Variantes Exchange concernées et mises à jour de sécurité
Microsoft fournit des mises à jour de sécurité pour les variantes Exchange suivantes :
Exchange Server Subscription Edition RTM : KB5128895
Exchange Server 2019 CU15 : KB5128896
Exchange Server 2019 CU14 : KB5128897
Exchange Server 2016 CU23 : KB5128898
Le statut des patches des systèmes Exchange déployés doit être vérifié et la mise à jour de sécurité correspondante doit être installée. Microsoft recommande une application rapide des mises à jour.
Exchange Server 2016 et Exchange Server 2019 sont en dehors du support régulier (Fin du support : 14 octobre 2025). Les mises à jour de sécurité pour ces variantes sont disponibles via le programme Period-2-ESU. Comme option à long terme, Microsoft recommande une migration vers Exchange Server Subscription Edition.
Risque d’XSS-Spoofing dans les interfaces web Exchange
La vulnérabilité peut se manifester après l'appel d'un lien préparé dans une interface Web Exchange. Les impacts documentés incluent le spoofing ainsi que - en cas d'exploitation réussie contre une victime disposant de droits administratifs - l'accès aux données organisationnelles ou leur modification.
Les systèmes avec des interfaces Web Exchange accessibles de l'extérieur et des comptes administratifs utilisant ces services méritent donc une attention particulière. Pour le traitement opérationnel, trois questions sont pertinentes :
Quels systèmes Exchange sont accessibles de l'extérieur ?
Quelle version du produit est utilisée sur les systèmes concernés ?
Lequel des quatre correctifs fournis est associé au système ?
Les réponses aident à attribuer la responsabilité aux équipes concernées et à planifier les mises à jour dans les processus de changement et de maintenance.
Pour les organisations en Allemagne et en Autriche, qui relèvent de la directive NIS-2 (mise en œuvre en Allemagne par le BSIG, en Autriche par le NISG), les instances Exchange accessibles de l'extérieur font partie de la surface d'attaque à déclaration obligatoire. En cas d'attaque réussie avec accès à des données personnelles, l'obligation de déclaration de la DSGVO selon l'art. 33 s'applique également (délai de 72 heures vis-à-vis de l'autorité de surveillance compétente). Pour les organisations en Suisse, la loi révisée sur la sécurité de l'information (ISG) avec obligation de déclaration au BACS s'applique.
Visibilité des services Exchange accessibles de l'extérieur
LocateRisk aide à l'enregistrement des systèmes accessibles au public et des logiciels utilisés sous ses propres domaines. Cela permet de rendre visibles les instances Exchange accessibles de l'extérieur dans l'inventaire des actifs, par exemple en cas de plusieurs domaines, de filiales ou de serveurs de messagerie exploités de manière décentralisée.
Cette visibilité soutient la priorisation de la vérification de la présence de services Exchange et des équipes responsables. L'attribution précise d'une mise à jour de sécurité nécessite en outre la vérification de l'état des correctifs sur le système concerné.
En outre, la gestion continue des risques fournisseurs peut fournir des indications lorsque des vulnérabilités critiques sont publiées par des fournisseurs de technologies ou que leur niveau de sécurité change. Pour le CVE-2026-70279, l'accent immédiat est mis sur les propres services Exchange accessibles au public et leur statut de mise à jour.
LocateRisk est Made in Germany, est exploité exclusivement dans des centres de données allemands et ne traite pas de données par des fournisseurs américains.
Suis-je concerné ?
Sont concernés Microsoft Exchange Server ; la vulnérabilité a été corrigée dans [object Object], [object Object], [object Object], [object Object]. Ceux qui veulent savoir si Microsoft Exchange Server est visible dans leur infrastructure accessible de l'extérieur peuvent utiliser le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
CVE-2026-70279 est une vulnérabilité de spoofing dans Microsoft Exchange Server, qui est basée sur une faiblesse de Cross-Site-Scripting (CWE-79). Elle a été publiée le 13 octobre 2026 par Microsoft et a été évaluée avec un score de base CVSS de 9,3.
This affects Exchange Server SE RTM, Exchange Server 2019 CU15 and CU14 as well as Exchange Server 2016 CU23. Microsoft provides the security updates KB5128895, KB5128896, KB5128897 and KB5128898. For Exchange Server 2016 and 2019, the patches are available exclusively through the paid Period-2-ESU program.
Les serveurs Exchange 2016 et 2019 atteindront leur fin de support régulière le 14 octobre 2025. Le programme Period-2-ESU prolonge la réception des mises à jour de sécurité jusqu'en octobre 2026 moyennant des frais de licence séparés. Il ne remplace pas le support complet du fabricant et ne couvre que les correctifs de sécurité.
État : 14.10.2026. Cet article a un but d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action au cas par cas. La situation de sécurité et la disponibilité des patches peuvent avoir changé depuis la publication ; l'avis du fabricant lié est toujours le plus pertinent. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-70279
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English