Die Schwachstelle wird in Microsofts Sicherheitsmeldung als XSS-Problem eingestuft: Eine unzureichende Bereinigung von Eingaben bei der Erzeugung von Webseiten in Exchange Server erlaube es einem nicht autorisierten Angreifer, Spoofing über ein Netzwerk durchzuführen. Betroffen ist der Webzugang Outlook Web Access.
Der Angriffsweg führt über eine manipulierte E-Mail an den Zielnutzer. Öffnet dieser die Nachricht im Outlook Web Access und treffen bestimmte Interaktionsbedingungen zu, kann nach Angaben von Microsoft beliebiger JavaScript-Code im Kontext des Browsers ausgeführt werden.
Solange kein dauerhafter Patch verfügbar ist, hat Microsoft mehrere Übergangsmaßnahmen bereitgestellt, mit denen sich die Lücke bis zur Veröffentlichung eines endgültigen Updates entschärfen lässt. Zu den laufenden Angriffen hat das Unternehmen bislang keine Informationen veröffentlicht. SecurityWeek hat Microsoft um Klarstellung gebeten und will den Bericht bei einer Antwort aktualisieren. Gemeldet wurde die Schwachstelle nach Angaben des Unternehmens von einem anonym bleibenden Forscher.
Angriffe auf Exchange-Server sind keine Seltenheit: Im KEV-Katalog der US-Behörde CISA, der bekanntermaßen ausgenutzte Schwachstellen auflistet, finden sich derzeit knapp zwei Dutzend solcher Lücken. Anders als bei CVE-2026-42897 gibt es jedoch offenbar keine weiteren Berichte über in den Jahren 2025 und 2026 entdeckte Exchange-Schwachstellen, die aktiv ausgenutzt werden.
In den KEV-Katalog der CISA wurde CVE-2026-42897 bislang noch nicht aufgenommen.