Exchange sur site : une faille de mai sert de porte dérobée permanente aux boîtes mail

Le groupe de pirates russe Void Blizzard, suivi par Proofpoint sous le nom TA488 et connu ailleurs comme Laundry Bear, exploite depuis le 22 juillet une faille d'Exchange Server. Elle sert à installer une porte dérobée qui résiste au changement de mot de passe de la victime. La faille, corrigée par Microsoft le 9 juin, ne touche que les serveurs Exchange installés sur site : Exchange Online, la messagerie cloud incluse dans les forfaits Microsoft 365, n'est pas concerné.

Un email suffit, aucun clic n'est nécessaire

Proofpoint, qui a repéré la campagne, la décrit comme une attaque « half-click » : contrairement à un piège classique, la victime n'a pas besoin de cliquer sur un lien ni d'ouvrir une pièce jointe. Ouvrir l'email dans Outlook Web Access (OWA), l'interface web d'Exchange, suffit à déclencher le code.

La faille exploitée, CVE-2026-42897, tient à une désinfection insuffisante du code HTML des messages. Un email construit pour l'occasion fait exécuter du JavaScript dans le navigateur dès l'ouverture. Microsoft la classe officiellement comme une faille d'usurpation, avec un score CVSS de 8,1, même si le mécanisme sous-jacent est celui d'une injection de script classique.

Selon l'analyse technique de Proofpoint, la porte dérobée déployée, baptisée OWAReaper, s'exécute entièrement dans le volet de lecture d'OWA. Elle réécrit ensuite le message sur le serveur pour effacer les traces du code d'origine, puis capte les identifiants que le navigateur propose de compléter automatiquement. Elle va ensuite plus loin : elle repère, parmi les modules complémentaires Outlook installés, ceux qui ont un accès en lecture-écriture à la boîte mail. Elle vole leur jeton d'authentification et l'utilise pour accorder au compte interne « Default » les droits de propriétaire sur tous les dossiers de la messagerie.

Une persistance qui ignore le changement de mot de passe

Cette dernière étape change la nature de l'incident. Le compte « Default » existe par défaut sur toute installation Exchange. Lui donner les droits de propriétaire sur une boîte mail revient à la rendre lisible par n'importe quel compte authentifié de l'organisation, en permanence. Proofpoint précise que cet accès « vit côté serveur et nécessite un retrait délibéré » : changer le mot de passe de la victime, ou réinstaller son poste, ne referme rien. Les autorisations restent en place sur le serveur tant qu'un administrateur ne les révoque pas explicitement.

Le groupe avait préparé son infrastructure d'attaque dès mars, avant que Microsoft ne confirme l'exploitation active de la faille le 14 mai. Ce délai laisse penser que Void Blizzard en avait connaissance avant sa divulgation publique. La campagne actuelle vise, d'après Proofpoint, des organisations gouvernementales aux États-Unis et en Europe. Elle touche aussi des entreprises des secteurs des télécoms, de la finance, de l'hôtellerie et de l'aéronautique, un ciblage que les chercheurs jugent inhabituellement large pour ce groupe.

Un correctif qui n'arrive pas à tout le monde automatiquement

Microsoft a confirmé l'exploitation active de CVE-2026-42897 le 14 mai et publié un correctif définitif le 9 juin. Entre les deux dates, une mitigation automatique (l'Exchange Emergency Mitigation Service, activée par défaut) ou un outil à exécuter manuellement (EOMT, disponible sur aka.ms/UnifiedEOMT) limitait le risque en attendant.

Le point qui concerne le plus directement une PME encore équipée d'un serveur sur site : les versions 2016 et 2019 sont hors support depuis le 14 octobre 2025. Le correctif de juin ne leur est livré que si l'entreprise a souscrit le programme payant de mises à jour de sécurité étendues, dit « ESU Period 2 », ouvert jusqu'en octobre 2026. L'inscription passe par un contact direct avec l'équipe commerciale Microsoft, pas par Windows Update. Sans cette démarche, un serveur resté en version 2016 ou 2019 n'a pas reçu le correctif de juin, quelle que soit sa date de dernière mise à jour apparente. Seule la version la plus récente, Subscription Edition, le reçoit sans condition.

Ce qu'il faut vérifier aujourd'hui

Confirmez d'abord si votre messagerie tourne encore sur un serveur installé dans vos locaux ou chez un hébergeur, par opposition à Exchange Online. Si c'est Exchange Online, cette faille ne vous concerne pas et vous pouvez vous arrêter là.

Si un serveur sur site tourne encore quelque part, demandez à votre prestataire sa version exacte (2016, 2019 ou Subscription Edition) et si le correctif du 9 juin, ou à défaut l'outil EOMT, a été appliqué. Sur une version 2016 ou 2019, posez la question de l'inscription au programme ESU Period 2. Un audit qui se contente de vérifier que « les mises à jour sont à jour » peut passer à côté de ce point, puisque le correctif n'apparaît pas sans cette inscription payante.

En cas de doute sur une compromission déjà en cours, deux indices sont concrets à demander. Le premier : des autorisations « Propriétaire » accordées au compte « Default » sur des dossiers de messagerie où elles n'ont aucune raison d'être. Le second : des jetons d'accès délivrés à des modules complémentaires Outlook non reconnus.