В мае 2026 года Microsoft выпустила экстренное предупреждение: корпоративная почта на базе Microsoft Exchange Server оказалась под ударом. Злоумышленники активно эксплуатируют уязвимость CVE-2026-42897 класса Cross-Site Scripting (XSS) в компоненте Outlook Web Access (OWA). Атаки уже зафиксированы «в дикой природе», и ситуация классифицирована как критическая.
☝️ Что получает злоумышленник
Уязвимость позволяет выполнять вредоносные скрипты прямо в браузере авторизованного пользователя OWA. На практике это значит, что злоумышленник может незаметно перехватить сессию и отправлять или читать письма от лица легитимного сотрудника — без кражи пароля и без срабатывания привычных механизмов авторизации.
📬 Почта как пропуск во всю сеть
Перехват сессии открывает прямой путь к хищению переписки, клиентских баз и внутренних документов. Но главная опасность — в другом: почтовый сервер является доверенным узлом сети. Получив к нему доступ, злоумышленник использует его как плацдарм для дальнейшего продвижения по инфраструктуре компании.
✅ Что делать компаниям
- Установить обновления немедленно. ИТ-администраторам нужно как можно быстрее развернуть последние кумулятивные обновления (CU) и патчи безопасности для Exchange Server — задержка здесь напрямую конвертируется в риск.
- Ограничить доступ извне. По возможности закрыть прямой публичный доступ к OWA из интернета и оставить вход только через корпоративный VPN, либо настроить жёсткий Conditional Access для недоверенных сетей.
- Включить MFA. Многофакторная аутентификация — обязательный минимум, который может остановить атаку даже при перехваченной сессии.
- Настроить мониторинг аномалий. SIEM должен отслеживать подозрительные входы в почту — нетипичную геолокацию, необычное время — и появление скрытых правил пересылки писем.
Развитие команды. ИТ- и security-специалистам полезно разбираться в логике эксплуатации XSS-уязвимостей и в защите корпоративных коммуникаций. Соответствующие модули доступны на HUSH.
Инцидент с OWA — напоминание, что даже XSS, который многие привыкли считать уязвимостью средней тяжести, в контексте корпоративной почты превращается в фатальную брешь. Электронная почта — это не просто средство связи, а центральное хранилище доступов, механизмов сброса паролей и коммерческих тайн компании. Защита Exchange-серверов от эксплуатации известных CVE должна быть абсолютным приоритетом, а не пунктом в конце списка задач.
Прежде чем отдать финальный текст — по фактам: событие подтверждено (Hugging Face, 16 июля; OpenAI, 21 июля), детали с датасет-лоадером, Jinja2-инъекцией и cCC ~17 тыс. действий совпадают с официальными раскрытиями. Но конкретное название модели «GPT-5.6 Sol» я нигде не смогла подтвердить — OpenAI публично не называла модель. Я убрала это название из текста, чтобы не публиковать непроверенную специфику. Если у тебя есть источник на это имя — пришли, вставлю обратно.