KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan layanan surel berbasis Microsoft Exchange Server on-premises untuk segera menindaklanjuti kerentanan keamanan yang teridentifikasi sebagai CVE-2026-42897. Kerentanan ini telah dikonfirmasi sedang dieksploitasi secara aktif di internet dan telah dimasukkan ke dalam katalog Known Exploited Vulnerabilities (KEV) milik CISA.

Mengingat banyak instansi pemerintah masih mengandalkan Exchange Server sebagai infrastruktur surel internal, kerentanan ini berpotensi menimbulkan dampak luas apabila tidak segera ditangani.

Ikhtisar

CVE-2026-42897 merupakan kerentanan cross-site scripting (XSS) pada antarmuka Outlook Web Access (OWA) Microsoft Exchange Server. Microsoft memberi skor CVSS 8.1 (High) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N, sedangkan NVD menilai skor pada 6.1 (Medium). Kerentanan ini diklasifikasikan sebagai CWE-79 (Improper Neutralization of Input During Web Page Generation).

Penyerang dapat mengeksploitasi celah ini dengan mengirimkan surel yang disusun secara khusus kepada korban. Apabila korban membuka surel tersebut melalui Outlook Web Access dan kondisi interaksi tertentu terpenuhi, kode JavaScript arbitrer dapat dieksekusi pada konteks peramban korban. Microsoft menandai kerentanan ini dengan status Exploitation Detected.

Dampak

Eksekusi skrip pada konteks sesi OWA korban dapat dimanfaatkan penyerang untuk berbagai tindakan berbahaya, antara lain:

• Pencurian token sesi sehingga penyerang dapat menyamar sebagai pengguna yang sah (aspek kerahasiaan).
• Manipulasi atau pembacaan isi kotak surel korban, termasuk surel yang memuat data sensitif instansi.
• Aksi spoofing dan rekayasa sosial lanjutan terhadap pengguna lain di dalam organisasi.
• Pengubahan pengaturan akun, seperti aturan penerusan surel, untuk mempertahankan akses secara diam-diam (aspek integritas).

Sistem yang Terdampak

Seluruh versi Microsoft Exchange Server on-premises yang masih didukung terdampak. Exchange Online (Microsoft 365) tidak terpengaruh oleh kerentanan ini.

Eksploitasi di Lapangan

Microsoft merilis pembaruan keamanan untuk kerentanan ini pada siklus Patch Tuesday 13 Mei 2026 dan secara terbuka menandainya dengan status Exploitation Detected. CISA memasukkan CVE-2026-42897 ke dalam katalog Known Exploited Vulnerabilities pada 15 Mei 2026, yang menandakan adanya konfirmasi eksploitasi aktif di lapangan. Bagi instansi yang mengaktifkan layanan Exchange Emergency Mitigation (EM Service), Microsoft telah menerbitkan mitigasi otomatis; namun penerapan pembaruan keamanan tetap merupakan satu-satunya mitigasi yang dapat diandalkan.

Detail Teknis

Kerentanan berakar pada proses pembangkitan halaman web pada komponen Outlook Web Access yang tidak melakukan netralisasi masukan secara memadai. Konten yang berasal dari surel buatan penyerang dapat dirender oleh peramban korban tanpa sanitization yang tepat, sehingga payload JavaScript ikut dieksekusi pada domain tepercaya OWA.

Karena skrip berjalan pada konteks sesi pengguna yang telah terotentikasi, penyerang dapat mengakses informasi sesi maupun melakukan operasi atas nama korban tanpa perlu mengetahui kredensial. Pemicunya berupa surel biasa, sehingga ambang serangan relatif rendah dan tidak memerlukan akses jaringan internal.

Rekomendasi

• Segera lakukan pembaruan. Pasang Security Update Mei 2026 untuk Exchange Server 2016, 2019, dan Subscription Edition. Pastikan Cumulative Update yang digunakan berada pada tingkat yang didukung sebelum menerapkan Security Update.
• Aktifkan mitigasi sementara. Apabila pembaruan belum dapat diterapkan, aktifkan Exchange Emergency Mitigation Service agar mitigasi otomatis dari Microsoft dapat berjalan. Langkah ini bersifat sementara dan tidak menggantikan pembaruan.
• Migrasikan versi usang. Exchange Server 2013 tidak menerima perbaikan. Instansi yang masih menggunakannya disarankan segera bermigrasi ke versi yang didukung atau ke layanan surel terkelola.
• Periksa indikasi kompromi. Telusuri log OWA dan log surel untuk aktivitas mencurigakan, serta tinjau aturan penerusan surel yang tidak dikenal pada akun pengguna.
• Batasi paparan OWA. Pertimbangkan pembatasan akses OWA dari internet, terapkan otentikasi multifaktor, dan aktifkan pemantauan terhadap pola akses tidak wajar.
• Tingkatkan kesadaran pengguna. Ingatkan pengguna untuk berhati-hati terhadap surel mencurigakan dan tidak membuka tautan maupun lampiran dari pengirim yang tidak dikenal.

Perangkat Daerah yang menemukan indikasi eksploitasi atau membutuhkan pendampingan teknis dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.

Referensi

• NVD — CVE-2026-42897
• Microsoft Security Response Center — Security Update Guide CVE-2026-42897
• CISA — Known Exploited Vulnerabilities Catalog