Microsoft’tan Kritik Exchange OWA Güvenlik Açığı Uyarısı: CVE-2026-42897 ACİL!

Microsoft Exchange Server tarafında yeni bir güvenlik açığı daha gündeme geldi. Microsoft, 14 Mayıs 2026 tarihinde yayımladığı duyuruda CVE-2026-42897 kodlu zafiyetin özellikle Outlook Web Access (OWA) bileşenini etkilediğini açıkladı.

Açıklanan bilgilere göre saldırgan, özel olarak hazırlanmış bir e-postayı hedef kullanıcıya göndererek bu açığı istismar edebiliyor. Kullanıcının ilgili e-postayı OWA üzerinden açması ve belirli etkileşimlerin gerçekleşmesi durumunda, tarayıcı oturumu içerisinde keyfi JavaScript kodu çalıştırılabiliyor. Bu durum potansiyel olarak oturum ele geçirme, kullanıcı adına işlem yapma veya phishing benzeri saldırıların önünü açabiliyor.

Etkilenen Exchange Sürümleri

Microsoft tarafından paylaşılan bilgiye göre aşağıdaki tüm on-premises Exchange sürümleri etkileniyor:

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition

Buna karşın Exchange Online servisinin bu zafiyetten etkilenmediği belirtildi.

Microsoft’un Önerdiği İlk Koruma Yöntemi: EM Service

Microsoft, en hızlı çözüm yöntemi olarak Exchange Emergency Mitigation Service (EM Service) kullanımını öneriyor. 2021 yılında yayınlanan ve varsayılan olarak aktif gelen bu servis sayesinde ilgili mitigation otomatik olarak Exchange sunucularına uygulanıyor.

EM Service aktif olan sistemlerde CVE-2026-42897 için koruma otomatik şekilde devreye alındı. Kurumlar, mitigation durumunu kontrol etmek için Exchange Health Checker scriptini kullanabiliyor.

Microsoft’un özellikle dikkat çektiği önemli noktalardan biri ise şu oldu:

Mart 2023 öncesi sürümlerde çalışan Exchange sunucuları yeni mitigation’ları kontrol edemeyebilir. Bu nedenle güncel olmayan CU seviyelerinde çalışan Exchange ortamlarının mümkün olan en kısa sürede güncellenmesi gerekiyor.

İnternete Kapalı Ortamlar İçin Alternatif Çözüm

Air-gapped veya internete çıkışı olmayan ortamlarda çalışan Exchange sistemleri için Microsoft, Exchange On-premises Mitigation Tool (EOMT) aracını kullanılabilir hale getirdi.

Yönetici yetkili Exchange Management Shell üzerinden çalıştırılan script ile mitigation manuel olarak uygulanabiliyor. Microsoft hem tek sunucu hem de tüm Exchange sunucularına toplu uygulama yöntemlerini paylaştı.

İşlem Adımları

https://aka.ms/UnifiedEOMT Script’i buradan indirin.

Tek Sunucu

.\EOMT.ps1 -CVE "CVE-2026-42897"

DAG Ortamı

Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | .\EOMT.ps1 -CVE "CVE-2026-42897"

Mitigation Sonrası Bilinen Problemler

Microsoft, mitigation uygulandıktan sonra bazı OWA fonksiyonlarında sorun oluşabileceğini de doğruladı.

Bilinen etkiler şunlar:

• OWA üzerinden “Print Calendar” özelliği çalışmıyor.
• OWA okuma panelinde inline görseller düzgün görüntülenemeyebiliyor.

Geçici çözüm olarak Outlook Desktop Client kullanılması öneriliyor.

Kalıcı Güvenlik Güncellemesi Yolda

Microsoft, güvenlik açığını tamamen kapatacak resmi Security Update üzerinde çalıştığını açıkladı. Güncellemenin aşağıdaki sürümler için yayınlanacağı belirtildi:

• Exchange SE RTM
• Exchange 2016 CU23
• Exchange 2019 CU14
• Exchange 2019 CU15

Ancak burada önemli bir detay bulunuyor. Exchange 2016 ve 2019 için yayınlanacak güvenlik güncellemesi yalnızca Period 2 Exchange Server ESU programına dahil müşterilere sunulacak. Nisan 2026 itibarıyla sona eren Period 1 ESU müşterileri bu güncellemeyi alamayacak.

Bu nedenle özellikle halen Exchange 2016 ve Exchange 2019 kullanan kurumların:

• CU seviyelerini kontrol etmeleri,
• EM Service durumlarını doğrulamaları,
• ESU kapsamlarını gözden geçirmeleri,
• OWA erişimlerini yakından izlemeleri

öneriliyor. Microsoft’un açıklaması, özellikle internetten erişilen OWA altyapılarında hızlı aksiyon alınması gerektiğini bir kez daha gösteriyor.