CVE-2026-55008 : XSS Stocké CVSS 9.6 Exchange Server OWA

Les faits

Le 14 juillet 2026, dans le cadre du Patch Tuesday de juillet 2026, Microsoft a publié une mise à jour de sécurité critique pour Microsoft Exchange Server adressant la vulnérabilité CVE-2026-55008, un cross-site scripting (XSS) stocké dans Outlook Web Access (OWA) avec un score CVSS v3.1 de 9.6 (Critical). La vulnérabilité a été analysée et confirmée par Tenable, le Zero Day Initiative (ZDI) de Trend Micro et le blog Icewolf, qui la désignent comme l'une des failles Exchange les plus sévères de l'année 2026. Microsoft Exchange Server, utilisé par des millions d'entreprises pour leur messagerie d'entreprise on-premises, est une cible de premier choix pour les groupes APT et les opérateurs de ransomware.

Techniquement, CVE-2026-55008 est classée CWE-79 (Improper Neutralization of Input During Web Page Generation), correspondant à un Cross-Site Scripting. Sa nature stockée et son attribut scope changed dans la notation CVSS la distinguent fondamentalement des XSS classiques réfléchis. La vulnérabilité réside dans le traitement du contenu des messages électroniques par l'interface Outlook Web Access : un attaquant envoie un email spécialement construit contenant du code JavaScript malveillant intégré dans des balises ou attributs HTML non correctement assainis par le moteur de rendu OWA côté serveur. Ce contenu malveillant est stocké sur le serveur Exchange dans la boîte mail de la victime, d'où la qualification stocké, et s'exécute automatiquement à l'ouverture du message.

Le mécanisme d'exploitation est particulièrement insidieux comparé à un XSS réfléchi classique. Contrairement à ce dernier qui requiert que la victime clique sur un lien malveillant spécialement forgé, ce XSS stocké s'exécute automatiquement lorsque la victime ouvre ou prévisualise simplement l'email dans OWA. Aucune action supplémentaire de la part de la victime n'est requise au-delà de l'ouverture du message. Le code JavaScript injecté s'exécute dans le contexte du navigateur de la victime avec les permissions complètes de la session OWA active, lui conférant les mêmes droits que l'utilisateur légitime sur l'interface web Exchange.

Le vecteur CVSS complet de CVE-2026-55008 est AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. La composante Attack Vector Network (AV:N) indique qu'un attaquant externe depuis Internet peut envoyer un email piégé. Attack Complexity Low (AC:L) confirme la facilité relative d'exploitation une fois la technique maîtrisée. No Required Privileges (PR:N) est un élément critique : aucun compte Exchange ou Microsoft 365 n'est nécessaire côté attaquant — n'importe qui pouvant envoyer un email vers l'adresse de la victime peut exploiter la vulnérabilité. User Interaction Required (UI:R) constitue la seule contrainte : la victime doit ouvrir l'email dans OWA. L'attribut Scope Changed (S:C) signifie que l'impact dépasse le contexte de l'application OWA elle-même, justifiant les impacts High (H) sur les trois axes CIA et le score global de 9.6.

Les versions affectées couvrent les déploiements Exchange on-premises les plus répandus en entreprise. Exchange Server 2016 Cumulative Update 23 est la seule version supportée de la branche 2016 et est vulnérable. Exchange Server 2019 CU14 et CU15, versions actuelles de la branche 2019, sont toutes deux affectées. Exchange Server Subscription Edition RTM, la toute dernière itération de la nouvelle branche d'abonnement lancée par Microsoft, est également vulnérable malgré sa récente date de publication. Microsoft 365 Exchange Online n'est pas concerné par CVE-2026-55008, la vulnérabilité étant spécifique aux déploiements on-premises où le code serveur Exchange est sous responsabilité de l'organisation.

La mise à jour de sécurité SU8 de juillet 2026 pour Exchange adresse simultanément quatre vulnérabilités dans le même lot de correctifs. CVE-2026-55005 est une vulnérabilité d'exécution de code à distance (RCE) dans Exchange Server. CVE-2026-55006 et CVE-2026-55009 sont deux failles d'élévation de privilèges. CVE-2026-55008 (le XSS stocké CVSS 9.6) est la plus critique par son score et son potentiel d'exploitation à grande échelle. Microsoft a publié des articles de base de connaissances distincts pour chaque version supportée : KB5103212 pour Exchange Server SE RTM, KB5103214 pour Exchange 2019 CU14, et KB5103215 pour Exchange 2016 CU23. L'update pour Exchange 2019 CU15 suit la même séquence de déploiement selon la documentation Microsoft.

Au moment de la rédaction de cet article le 21 juillet 2026, aucun code de preuve de concept public (PoC) n'a été divulgué pour CVE-2026-55008, et la CISA ne rapporte aucune exploitation active confirmée dans son catalogue Known Exploited Vulnerabilities (KEV). Cependant, la fenêtre entre la publication d'un patch Exchange et le développement d'exploits fonctionnels par des acteurs malveillants tend à se réduire considérablement. Des groupes APT tels que Hafnium, spécialisé dans le ciblage d'Exchange, et des opérateurs de ransomware ont démontré par le passé leur capacité à reverse-engineer les correctifs Exchange et à développer des exploits opérationnels en quelques jours à une semaine après la publication des KB updates.

Le Zero Day Initiative souligne dans son analyse du Patch Tuesday juillet 2026 que CVE-2026-55008, malgré sa classification XSS, représente un risque opérationnel élevé pour les entreprises avec des environnements Exchange on-premises accessibles depuis Internet via OWA. La combinaison avec CVE-2026-55005 (RCE Exchange) dans le même lot de correctifs renforce l'urgence d'un déploiement rapide : un attaquant pourrait théoriquement enchaîner le XSS stocké pour obtenir l'exécution de JavaScript dans le contexte d'un compte administrateur Exchange, puis exploiter la RCE pour une compromission complète du serveur. Selon Icewolf, SU8 est la mise à jour Exchange cumulant le plus grand nombre de vulnérabilités critiques depuis SU6 en 2024.

Impact et exposition

L'exposition principale concerne les organisations disposant de Microsoft Exchange Server on-premises et permettant l'accès à Outlook Web Access depuis Internet ou depuis le réseau interne sans authentification forte préalable. Les entreprises ayant migré vers Exchange Online (Microsoft 365) ne sont pas concernées par CVE-2026-55008. En revanche, les organisations ayant conservé des déploiements Exchange on-premises par contraintes réglementaires, de souveraineté des données, de continuité avec des applications métier intégrées, ou par inertie d'infrastructure restent pleinement exposées jusqu'à application de SU8.

L'exploitation réussie de CVE-2026-55008 permet à un attaquant de voler les jetons de session OWA de la victime (permettant un détournement complet de compte sans connaître le mot de passe), d'effectuer des actions dans la boîte mail en se faisant passer pour la victime (lecture, suppression, redirection d'emails, création de règles de transfert malveillantes), de déclencher des téléchargements malveillants depuis le navigateur de la victime, d'exfiltrer des informations sur l'environnement Exchange et Active Directory, et potentiellement d'enchaîner avec d'autres attaques sur le réseau interne si la session Exchange compromise appartient à un compte administrateur.

Le scénario d'attaque le plus critique cible les comptes à hauts privilèges : un email piégé envoyé à l'administrateur Exchange ou au DSI, ouvert dans OWA, compromet immédiatement la session administrative. Dans le contexte d'une attaque ciblée APT ou ransomware à entrée par email, ce vecteur constitue un point d'entrée initial permettant la reconnaissance interne, le mouvement latéral et l'escalade vers une compromission du domaine Active Directory complet. Les serveurs Exchange on-premises exposés sur Internet figurent régulièrement en tête des cibles initiales dans les rapports d'incidents de réponse post-compromission publiés par les équipes CERT et CSIRT.

Recommandations immédiates

• Appliquer les mises à jour de sécurité Exchange SU8 de juillet 2026 : KB5103212 (Exchange SE RTM), KB5103214 (Exchange 2019 CU14), KB5103215 (Exchange 2016 CU23) — Microsoft Exchange Security Update, 14 juillet 2026
• Vérifier les prérequis avant installation : certaines mises à jour SU Exchange nécessitent l'exécution préalable du script de préparation de schéma AD via Exchange Management Shell avant le déploiement du package
• Si le patch ne peut pas être appliqué immédiatement : désactiver l'accès OWA depuis Internet via les règles de pare-feu et restreindre l'accès à un VPN ou réseau interne uniquement
• Auditer les logs IIS d'Exchange pour des payloads XSS inhabituels dans les headers et corps de requêtes OWA (patterns script, javascript, onerror dans les logs access)
• Activer et renforcer les en-têtes de sécurité HTTP sur l'interface OWA : Content-Security-Policy, X-XSS-Protection, X-Content-Type-Options via la configuration IIS du serveur Exchange
• Sensibiliser les utilisateurs à ouvrir les emails suspects via Outlook Desktop (client lourd) plutôt que OWA en période de risque élevé, le client lourd n'étant pas affecté par ce vecteur XSS