⚡ Points Clés

CVE-2026-42897 est une faille XSS de score CVSS 8.1 dans Exchange OWA, exploitée activement depuis le 14 mai. Aucun correctif permanent. EEMS présente des lacunes documentées pour les utilisateurs en mode IE. Correctif permanent attendu le 10 juin.

En résumé: Auditez EEMS sur chaque nœud Exchange, bloquez l’accès OWA en mode IE, configurez une surveillance comportementale post-XSS, et préparez les mises à niveau CU pour déployer le correctif du 10 juin dans les heures suivant sa sortie.

Lire l’analyse complète ↓

🧭 Radar de Décision

Relevance for Algeria
High
▾
Exchange sur site est actif dans les secteurs bancaire, gouvernemental et industriel ; OWA est l’interface webmail principale dans de nombreuses organisations
Action Timeline
Immediate
▾
inscrite au catalogue KEV de la CISA, exploitation active, correctif permanent attendu le 10 juin
Key Stakeholders
Directeurs IT, administrateurs systèmes, RSSI, propriétaires Exchange Server, correspondants ASSI dans les secteurs réglementés
Decision Type
Tactical
▾
This article offers tactical guidance for near-term implementation decisions.
Priority Level
Critical
▾
Assessment: Critical. Review the full article for detailed context and recommendations.

En bref: Les équipes IT algériennes doivent auditer l’activation d’EEMS sur chaque nœud Exchange aujourd’hui, identifier et renforcer les chemins d’accès OWA en mode IE qui restent non protégés par l’atténuation, configurer une surveillance comportementale pour les indicateurs de mouvement latéral post-exploitation, et préparer les mises à niveau des mises à jour cumulatives afin que le correctif permanent puisse être déployé dans les heures suivant sa publication prévue le 10 juin.

Publicité

Pourquoi Cette CVE a un Impact Particulier sur les Entreprises Algériennes

Microsoft Exchange Server n’est pas une curiosité héritée en Algérie — c’est encore la colonne vertébrale active de la messagerie pour de nombreuses grandes entreprises, institutions publiques et opérateurs industriels. La combinaison des exigences réglementaires en matière de résidence des données, de la connectivité cloud limitée dans certaines installations, et des cycles d’acquisition qui favorisent les licences sur site à long terme signifie que les déploiements d’Exchange Server 2016 et 2019 sont répandus et activement utilisés.

CVE-2026-42897 a été divulguée le 14 mai 2026. Le reportage de BleepingComputer sur la faille zero-day Exchange a confirmé que les trois versions d’Exchange Server sur site actuellement supportées sont affectées : Exchange Server 2016, Exchange Server 2019 et Exchange Server Subscription Edition (SE). La vulnérabilité est classée comme une faille XSS (CWE-79) avec un score CVSS de base de 8.1. L’exploitation est simple : un email malveillant, lorsqu’il est ouvert dans OWA, exécute du JavaScript arbitraire dans le navigateur de la victime — sans macro, sans plugin, sans clic supplémentaire.

Ce qui est particulièrement pertinent pour les équipes IT algériennes, c’est l’écart calendaire. Le Patch Tuesday du 12 mai 2026 a traité 138 CVE mais a omis cette faille zero-day. La CISA a ajouté CVE-2026-42897 à son catalogue de vulnérabilités exploitées connues le 15 mai 2026 — un jour après la divulgation — signalant que l’exploitation est confirmée et répandue, pas théorique. Le prochain véhicule de correctif permanent est le Patch Tuesday du 10 juin, laissant une fenêtre d’environ quatre semaines pendant laquelle les mesures d’atténuation sont la seule défense disponible.

Comprendre les Lacunes des Mesures d’Atténuation Avant de les Appliquer

L’outil d’atténuation principal de Microsoft est l’Exchange Emergency Mitigation Service (EEMS). Pour les serveurs Exchange connectés à Internet, EEMS télécharge et applique automatiquement des règles de filtrage provisoires qui bloquent la chaîne d’exploitation connue. Pour les environnements isolés, l’Exchange On-premises Mitigation Tool (EOMT) fournit une capacité équivalente via un déploiement manuel PowerShell.

L’application d’EEMS est le bon premier pas — mais elle doit être appliquée en connaissance de cause. TechTimes a rapporté le 19 mai que Microsoft a mis à jour l’avis le 18 mai avec des lacunes de protection documentées :

EEMS ne protège pas les utilisateurs accédant à OWA via Internet Explorer ou Edge en mode de compatibilité IE. Toute entreprise algérienne dont les utilisateurs accèdent à OWA via un portail intranet hérité, un outil encapsulé dans IE, ou un navigateur Edge en mode IE-compatibilité, reste entièrement exposée après l’application d’EEMS.

En outre, l’application de l’atténuation interrompt plusieurs fonctionnalités OWA : la fonction d’impression du calendrier cesse de fonctionner, les images intégrées ne s’affichent plus correctement, et l’interface OWA Light (/?layout=light) cesse de fonctionner. Le healthset OWACalendar.Proxy signale également un état défaillant, ce qui générera de fausses alertes dans tout système de surveillance vérifiant les points de santé d’Exchange. Les équipes devraient supprimer ces fausses alertes pour éviter que la fatigue d’alerte masque les signaux réels.

Publicité

Ce Que les Équipes IT Algériennes Doivent Faire Face à CVE-2026-42897

Il s’agit d’un événement de réponse de niveau 1 — non pas parce que toutes les organisations algériennes sont sous attaque active, mais parce que la fenêtre pour une atténuation ordonnée est courte et que le coût d’un retard après exploitation est élevé.

1. Auditer l’Activation d’EEMS sur Chaque Nœud Exchange — Ne Rien Supposer

EEMS est fourni désactivé par défaut sur de nombreux déploiements Exchange, notamment ceux configurés avant 2024 ou dans des environnements renforcés qui restreignent la connectivité sortante. Sur chaque serveur Exchange, exécutez :

«  Get-ExchangeDiagnosticInfo -Server <NomServeur> -Process EdgeTransport -Component VariantConfiguration -Setting Orchestrator « 

Documentez le résultat pour chaque nœud. Si EEMS n’est pas en cours d’exécution, activez-le immédiatement conformément aux recommandations de Microsoft TechCommunity sur CVE-2026-42897. Pour les serveurs Exchange dans des segments isolés — courants dans les installations industrielles et les réseaux gouvernementaux sécurisés — téléchargez et exécutez EOMT depuis un point de distribution interne de confiance. Ne traitez pas les nœuds Exchange hérités d’acquisitions passées comme présumés conformes ; auditez chacun explicitement.

2. Identifier et Renforcer les Chemins d’Accès OWA Dépendants d’IE Avant la Prochaine Journée Ouvrable

La lacune EEMS confirmée pour Internet Explorer et le mode de compatibilité IE n’est pas un cas limite théorique dans le contexte des entreprises algériennes. Les portails intranet hérités qui intègrent OWA dans des cadres compatibles IE, et les navigateurs Edge configurés en mode IE sur certains intranets gouvernementaux ou bancaires, sont des configurations réelles qui exposent entièrement les utilisateurs.

Interrogez les journaux d’accès Exchange pour les sessions OWA portant des chaînes d’agent utilisateur IE des 30 derniers jours. Si des sessions en mode IE existent, évaluez-les selon deux options : migrer ces utilisateurs vers un navigateur moderne avant la prochaine journée ouvrable (de préférence), ou restreindre leur accès OWA via la stratégie de groupe jusqu’à l’arrivée du correctif permanent.

3. Mettre en Place une Surveillance Comportementale pour les Indicateurs de Mouvement Latéral Post-XSS

Une fois CVE-2026-42897 exécutée dans le contexte du navigateur OWA, l’attaquant détient les cookies de session et peut émettre silencieusement des requêtes MAPI-over-HTTP authentifiées — lisant le contenu de la boîte aux lettres, créant des règles de transfert, et accédant aux données de calendrier sans déclencher d’alertes antivirus ou de détection d’endpoint standard.

Configurez des alertes pour : les nouvelles règles de transfert de courrier créées en dehors des heures ouvrables, les accès MAPI en masse depuis des IP inhabituelles, les demandes d’export de calendrier (notamment pour les comptes exécutifs), et les connexions OWA avec une géolocalisation inhabituelle ou un horaire décalé. Ces indicateurs apparaissent en aval d’un détournement de session réussi.

4. Préparer les Mises à Niveau des Mises à Jour Cumulatives pour la Fenêtre de Correctif du 10 Juin

Le correctif permanent sera fourni dans le cadre des mises à jour cumulatives pour Exchange SE RTM, Exchange 2016 CU23 et Exchange 2019 CU14/CU15. Les organisations utilisant des mises à jour cumulatives plus anciennes — situation courante dans les environnements où les mises à niveau CU sont traitées comme des événements annuels — ne peuvent pas appliquer directement le correctif permanent sans d’abord mettre à niveau vers la base CU requise.

Commencez dès maintenant l’évaluation de la mise à niveau CU. Identifiez la version CU de chaque serveur Exchange, comparez aux bases éligibles au correctif, et planifiez le travail de mise à niveau dans un environnement de test. Les mises à niveau CU d’Exchange nécessitent des tests contre les agents de transport personnalisés, les connecteurs tiers, les intégrations d’archivage et les configurations hybrides. Ce test prend des jours. Les organisations qui commencent maintenant peuvent appliquer le correctif permanent dans les heures suivant sa publication le 10 juin.

Le Contexte Plus Large : Traiter Exchange Comme une Application Web

La discipline de réponse que CVE-2026-42897 exige est la même que celle que les organisations appliquent aux applications web orientées Internet — car OWA est, fonctionnellement, une application web orientée Internet. Le vecteur d’attaque XSS, la conséquence de détournement de session, le modèle de détection comportementale : ce sont des concepts de sécurité des applications web, pas des concepts traditionnels d’infrastructure de messagerie.

Les équipes de sécurité algériennes qui ont construit des contrôles périmètre robustes pour Exchange mais n’ont pas étendu la surveillance de sécurité des applications web à OWA devraient traiter cette CVE comme un déclencheur. L’Agence de la Sécurité des Systèmes d’Information (ASSI) surveille la posture nationale de cybersécurité et coordonne les réponses aux CVE actives. Les organisations incertaines de leur statut de déploiement EEMS ou de leur exposition OWA en mode IE peuvent consulter les avis publiés par l’ASSI et utiliser ce guide de réponse comme cadre opérationnel pour la remédiation interne.

Suivez AlgeriaTech sur LinkedIn pour des analyses tech professionnelles Suivre sur LinkedIn
Suivez @AlgeriaTechNews sur X pour des analyses tech quotidiennes Suivre sur X

Publicité

Questions Fréquemment Posées

Cette CVE affecte-t-elle les organisations qui utilisent à la fois Exchange sur site et Microsoft 365 en mode hybride ?

Oui, avec nuance. La vulnérabilité OWA est spécifique aux composants Exchange Server sur site — la configuration hybride elle-même n’étend pas la vulnérabilité à Exchange Online. Cependant, dans un déploiement hybride, les boîtes aux lettres sur site sont toujours accessibles via le point de terminaison OWA sur site, qui reste entièrement exposé. Les organisations en mode hybride doivent appliquer EEMS à leurs serveurs Exchange sur site et identifier quels utilisateurs ont encore des boîtes aux lettres sur site.

La mesure d’atténuation EEMS est-elle suffisante pour arrêter l’exploitation jusqu’à l’arrivée du correctif permanent ?

Pour la plupart des utilisateurs, oui — à condition qu’ils n’accèdent pas à OWA via Internet Explorer ou Edge en mode de compatibilité IE. EEMS applique un filtrage côté serveur qui bloque les constructions HTML de la chaîne d’exploitation connue. La lacune confirmée concerne spécifiquement les chemins d’accès en mode IE. Si votre organisation a confirmé qu’aucun utilisateur n’accède à OWA via IE ou le mode IE, EEMS fournit la protection provisoire prévue, en acceptant les compromis fonctionnels (impression du calendrier cassée, images intégrées, mode OWA Light).

Que faut-il communiquer aux utilisateurs exécutifs dont les comptes sont les plus à risque ?

Conseillez aux cadres et à leurs assistants d’accéder à la messagerie via l’application Outlook de bureau (pas OWA) jusqu’au déploiement du correctif permanent. La CVE est spécifique à l’interface web — le client Outlook MAPI n’est pas affecté. Si OWA est opérationnellement nécessaire, assurez-vous que ces utilisateurs y accèdent via un navigateur moderne (Chrome, Edge en mode standard, Firefox) et qu’EEMS est appliqué sur leur serveur de messagerie. Examinez immédiatement les éventuelles règles de transfert sur les boîtes aux lettres exécutives.

Sources et lectures complémentaires