CVE-2026-42897, Microsoft Exchange Server Outlook Web Access (OWA) bileşenini etkileyen yüksek önem seviyesinde bir güvenlik zafiyetidir. Açık, özel hazırlanmış bir içeriğin kullanıcı tarafından OWA üzerinden görüntülenmesi durumunda istemci tarafında zararlı JavaScript kodunun çalıştırılabilmesine neden olabilmektedir.

Zafiyetin temel detayları aşağıdaki gibidir:

• CVE: CVE-2026-42897
• Etkilenen Ürünler:
  • Microsoft Exchange Server 2016
  • Microsoft Exchange Server 2019
  • Exchange Server Subscription Edition
• Etkilenen Bileşen:
  • Outlook Web Access (OWA)
• Zafiyet Türü:
  • Cross-Site Scripting (XSS) / Spoofing
• CVSS v3 Skoru:
  • 8.1 (High)
• Saldırı Vektörü:
  • Ağ üzerinden
• Kullanıcı Etkileşimi:
  • Gereklidir

Microsoft tarafından yapılan açıklamaya göre saldırgan, özel hazırlanmış bir içeriği hedef kullanıcıya iletebilir. Kullanıcının ilgili içeriği OWA üzerinden açması durumunda, tarayıcı oturumu içerisinde saldırgana ait script kodları çalıştırılabilir. Bu durum;

• Kullanıcı oturum bilgilerinin ele geçirilmesi,
• OWA oturumu üzerinden yetkisiz işlemler gerçekleştirilmesi,
• Kimlik sahteciliği (spoofing),
• Hassas verilere erişim

gibi risklere yol açabilmektedir.

Önemli Not:
Bu zafiyet doğrudan Exchange sunucusunda Remote Code Execution (RCE) anlamına gelmemektedir. Risk, kullanıcı oturumu ve tarayıcı bağlamında oluşmaktadır. Ancak OWA servisinin internete açık olması nedeniyle kritik seviyede değerlendirilmesi önerilmektedir.

Yapılması Gerekenler:

1. Exchange Server sürümlerinin ve patch seviyelerinin kontrol edilmesi
2. OWA servisinin internete açık olup olmadığının doğrulanması
3. Microsoft tarafından yayınlanan güvenlik güncellemeleri ve mitigation adımlarının uygulanması
4. OWA erişim logları ve IIS kayıtlarının incelenmesi
5. Şüpheli erişim ve oturum hareketlerinin kontrol edilmesi

İnternete açık sistemler için ek güvenlik kontrollerinin gözden geçirilmesi

Zafiyet ile ilgili Patch yayınlanana kadar aşağıdaki makalede yer alan workaround’ları uygulayabilirsiniz.

https://techcommunity.microsoft.com/blog/exchange/addressing-exchange-server-may-2026-vulnerability-cve-2026-42897/4518498 

$BLinfo = Get-Bitlockervolume

if($blinfo.ProtectionStatus -eq 'On' -and $blinfo.EncryptionPercentage -eq '100'){
    exit
}

else
{
Enable-Bitlocker -MountPoint c: -UsedSpaceOnly -SkipHardwareTest -RecoveryPasswordProtector
}

Bu durumun çözümü için iki adet workaround mevcut. Bunlardan ilki, SC.exe kullanılarak Windows Server upgrade sonrası DACL’in default konfigürasyon olarak ayarlanması.

net stop seclogon ile seclogon servisini durduruyoruz.

Aşağıdaki komutu çalıştırıyoruz.

sc sdset seclogon D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPDTLOCRRC;;;IU)(A;;CCLCSWDTLOCRRC;;;SU)(A;;CCLCSWRPDTLOCRRC;;;AU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

İkincil çözüm olarak her ne kadar tavsiye edilmese de GPO kullanılabilir. Tavsiye edilmeme sebebi, her seferinde DACL Security ayarlarının tekrar uygulanması. Kısaca, Seclogon servisini manuel olarak ayarlarıp, security permissionları düzenliyorsunuz. Detay aşağıda yer almaktadır.

https://learn.microsoft.com/en-us/troubleshoot/windows-server/shell-experience/access-denied-runas-command-run-as-administrator

Kurumsal kullanıcılar için taskbar’da yer alması gereken iş uygulamalarını merkezi olarak belirleyip, tüm kullanıcılara yaygınlaştırabiliriz. Windows 11 Taskbar üzerinde pin’lenen uygulamaların kısayolları aşağıdaki klasör ve registry içerisinde saklanmaktadır.

Registry:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Taskband

Folder:
%AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar

Taskbar’da yer alması istediğiniz uygulamaları sabitliyoruz.

Aşağıdaki .bat dosyasını calıştırarak pin’lenen uygulamaların kısayolu ve registry key’nin yedeğini alıyoruz.

mkdir "%userprofile%\Desktop\Taskbar-Pinned-Items-Backup\TaskBar"

copy /y "%AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar" "%userprofile%\Desktop\Taskbar-Pinned-Items-Backup\TaskBar"

REG EXPORT HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Taskband "%userprofile%\Desktop\Taskbar-Pinned-Items-Backup\Taskbar-Pinned-Items-Backup.reg" /y

Alınan backup’ı her kullanıcı oturum açma sırasında uygulanacak şekilde gpo ile logon script’e ekleyerek, tüm kullanıcılarda aynı uygulama kısayollarının pinlenmesini sağlayabilirsiniz.

DEL /F /S /Q /A "%AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\*"

copy /y "C:\layouts\Taskbar-Pinned-Items-Backup\TaskBar" "%AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar" 

REG DELETE HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Taskband /F

REG IMPORT "C:\layouts\Taskbar-Pinned-Items-Backup\Taskbar-Pinned-Items-Backup.reg"

taskkill /f /im explorer.exe

start explorer.exe

Restore amacıyla kullanılan .bat dosyasını incelediğiniz zaman, kullanıcı tarafından pinlenen kısayollar siliniyor, yedek olarak aldıgımız uygulama kısayolları kopyalanıyor, eski registry key’i silinerek yine yedek alınan registry key’i kopyalanıyor. Son olarak explorer.exe restart ediliyor.

Bu sayede kullanıcı var olan pinleri değiştirse dahi her logon sırasında taskbar resetlenmiş oluyor.

Windows 10 tarafında Start Menu kolayca Export (Export-StartLayout) ve Import (Import-StartLayout) edilebiliyordu. Powershell yardımıyla hazırladığınız Start Menu XML formatında alınıp, GPO (User Configuration or Computer Configuration > Administrative Templates >Start Menu and Taskbar) ile dağıtılabiliyordu. Windows 11 (22H2) ‘de  malesef yapılamıyor. 

Windows 11 üzerinden de hazırladığınız Start Menu export edilebiliyor ancak XML formatında degil, JSON formatında. JSON dosyası Microsoft Intune’de kullanmak için, GPO tarafı ise sadece XML kabul ediyor. 

https://learn.microsoft.com/en-us/windows/configuration/customize-start-menu-layout-windows-11

Bu durumu aşabilmek için workaround mevcut. Windows 11 Start Menu öğeleri encrypted olarak bir dosya içerisinde saklanıyor. Bu dosyayı diğer Windows 11 bilgisayarların default profile altına kopyalarsanız, ilk defa oturum açan herkes bu ayarlardan etkilenecektir. Daha önce oturum açmış bir kullanıcının etkilenmesi için ise, ilgili kullanıcı profiline kopyalanması gerekiyor.

Öncelikle Start Menu’de olması gereken öğeleri pinliyoruz, istemediklerimizi unpin yapıyoruz.

Aşağıdaki dosya yolunda oluşan Start2.bin dosyasını kopyalayıp, aynı ayarların gözükmesini istediğiniz Windows 11 bilgisayarlara kopyalıyorsunuz.

%LocalAppdata%\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\LocalState

Daha önce oturum açan kullanıcılar için aşağıdaki path’e kopyalamalısınız.

%USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\LocalState

Default user profile için aşağıdaki path’e kopyalamalısınız.

C:\Users\Default\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\LocalState

Windows 10’dan Windows 11’e inplace upgrade edilen bazı makinalarda Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy klasörü ve altında ki LocalState klasörünün olmadığı ile karşılaştım, elle oluşturabilirsiniz.

Son olarak tüm bu süreci otomatize etmek için aşağıdaki her iki komutu notepad’a alıp GPO üzerinden Logon Script olarak dağıtabilirsiniz. Start2.bin dosyası netlogon klasörünün içerisinden çağırılabilir.

mkdir "%USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\LocalState"

copy "\\domain.local\netlogon\w11\start2.bin" "%USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\LocalState" /Y

Microsoft Transript

https://learn.microsoft.com/en-us/users/serhadmakbuloglu-1341/transcript/71re8s5rlp85onn

https://learn.microsoft.com/en-us/exchange/new-features/build-numbers-and-release-dates?view=exchserver-2019

Build Number listesinde short format ve long format diye iki ayrım dikkatinizi cekmiştir. Short format, Admin display version olarak geçen ve ECP üzerinden de kolayca erişebildiğimiz versiyon bilgisidir.

Powershell’den bu bilgiyi almak için aşağıdaki komut kullanılabilir.

Get-ExchangeServer | Format-Table Name, Edition, AdminDisplayVersion

Long Format ise, kurulu olan Security Update versiyonunu göstermektedir. Onu öğrenmek için Powershell’i kullanmalıyız.

$ExchangeServers = Get-ExchangeServer | Sort-Object Name
ForEach ($Server in $ExchangeServers) {
    Invoke-Command -ComputerName $Server.Name -ScriptBlock { Get-Command Exsetup.exe | ForEach-Object { $_.FileversionInfo } }
}