Alerte CERT-FR : faille Exchange Server exploitée

L'agence nationale de la sécurité des systèmes d'information, CERT-FR (rattachée à l'ANSSI), a publié l'avis CERTFR-2026-AVI-0599 le 15 mai 2026, alertant sur une vulnérabilité dans Microsoft Exchange Server qui fait l'objet d'une exploitation active.

En quoi consiste cette vulnérabilité ?

Selon le CERT-FR, la vulnérabilité référencée CVE-2026-42897 permet à un attaquant d'effectuer une injection de code indirecte à distance (également connue sous le nom de cross-site scripting, ou XSS) et de contourner les politiques de sécurité au sein de Microsoft Exchange Server. Microsoft a lui-même confirmé que cette vulnérabilité est activement exploitée dans la nature.

En termes simples : si votre entreprise utilise Microsoft Exchange Server pour gérer ses courriels, il existe une faille de sécurité connue dont des attaquants tirent déjà parti. Il ne s'agit pas d'un risque théorique.

Que faut-il faire ?

Selon l'avis du CERT-FR, les utilisateurs et les administrateurs doivent appliquer les correctifs fournis dans le bulletin de sécurité de Microsoft pour CVE-2026-42897, daté du 14 mai 2026. Le CERT-FR invite les organisations à consulter directement ce bulletin pour obtenir les correctifs appropriés.

Si vous gérez votre propre serveur de messagerie, ou si c'est votre prestataire informatique qui s'en charge, la première étape consiste à vérifier que votre installation d'Exchange Server a bien été mise à jour avec les correctifs du bulletin de sécurité de Microsoft. Si vous ne savez pas qui gère votre infrastructure de messagerie, c'est le bon moment pour le demander.

Pour des conseils plus généraux sur la sécurisation de vos systèmes, consultez notre liste de contrôle sécurité pour les petites entreprises.

Une remarque sur la sécurité de la messagerie en général

De nombreuses petites entreprises s'appuient sur des services de messagerie hébergés plutôt que sur leur propre serveur Exchange. Si c'est votre cas, votre prestataire est probablement responsable de l'application des correctifs en votre nom. Il vaut néanmoins la peine de le confirmer avec lui, en particulier lorsqu'une vulnérabilité est confirmée comme activement exploitée.

Si votre site web repose sur des extensions ou des logiciels tiers, les mêmes principes de mise à jour s'appliquent. Notre guide sur les extensions vulnérables explique ce à quoi il faut être attentif.

Qu'est-ce que cela signifie pour votre activité ?

Si votre entreprise utilise Microsoft Exchange Server pour sa messagerie, vous devez vérifier en priorité auprès de votre support informatique que les derniers correctifs de sécurité ont bien été appliqués. Un serveur de messagerie compromis peut exposer les données de vos clients et nuire à la confiance qu'ils vous accordent. Maintenir vos logiciels à jour est l'une des mesures les plus simples que vous puissiez prendre pour protéger vos clients et votre réputation.