Faille Microsoft Exchange : pourquoi la messagerie reste une infrastructure critique oubliée

La messagerie professionnelle est souvent considérée comme un outil banal. Elle fait partie du quotidien, fonctionne en arrière-plan et attire rarement l’attention tant qu’elle ne tombe pas en panne.

Pourtant, c'est une des infrastructures les plus critiques de l’entreprise.

La récente vulnérabilité CVE-2026-42897 (il y a moins d'une semaine), affectant Microsoft Exchange Server, nous le rappelle une nouvelle fois. Le CERT-FR indique que cette faille permet une injection de code indirecte à distance de type XSS, ainsi qu’un contournement de politique de sécurité. Microsoft précise qu’elle est déjà exploitée activement.

Ce n’est donc pas seulement une faille technique de plus. C’est un signal d’alerte sur un actif que beaucoup d’organisations continuent de traiter comme une simple boîte aux lettres, alors qu’il concentre communications sensibles, pièces jointes, historiques métiers, accès web, règles de transfert, carnets d’adresses et parfois des liens directs avec l’annuaire de l’entreprise. La messagerie, fait tellement partie du paysage, qu'on ne fait plus attention à elle. 

Exchange : une cible toujours stratégique

Microsoft Exchange est une cible privilégiée depuis des années. La raison est simple : un serveur de messagerie n’est pas seulement un outil de communication. C’est un carrefour.

Il reçoit des messages depuis Internet, stocke des données sensibles, expose parfois Outlook Web Access, s’intègre à l’annuaire de l’entreprise et conserve des échanges commerciaux, juridiques, financiers, RH, etc. 

Compromettre Exchange, ce n’est donc pas seulement lire des emails. C’est potentiellement accéder à une partie de la mémoire de l’entreprise et son histoire récente.

Dans le cas de CVE-2026-42897, l’exploitation peut passer par un email spécialement conçu envoyé à un utilisateur. Cela montre à quel point la messagerie reste une surface d’attaque critique, en particulier lorsqu’elle est exposée sur Internet.

Le risque des infrastructures on-premise

Cette faille remet aussi en lumière le risque des infrastructures Exchange hébergées sur site.

Un serveur on-premise n’est pas forcément moins sécurisé qu’un service cloud. Mais il exige une discipline permanente : correctifs rapides, supervision, durcissement, sauvegardes, segmentation et surveillance des accès.

Le problème apparaît lorsque ces serveurs deviennent des actifs négligés : une ancienne instance toujours accessible, un accès OWA exposé, un retard de mise à jour, ou des journaux insuffisamment surveillés.

Dans ce contexte, une faille activement exploitée peut devenir une porte d’entrée majeure vers tout le système d’information.

L’email est souvent sous-estimé

L’email est tellement central qu’il devient invisible.

Il sert à réinitialiser des mots de passe, recevoir factures, transmettre des contrats, échanger avec les clients, les fournisseurs, les avocats, les banques ou les assureurs. Il contient souvent des informations sensibles et permet de retracer certaines décisions internes.

C’est précisément pour cela qu’il intéresse les attaquants.

Un accès à une boîte mail peut permettre de préparer une fraude, d’observer tranquillement les habitudes de communication, de récupérer des pièces jointes, de créer des règles de transfert discrètes ou de rebondir vers d’autres comptes.

La messagerie n’est donc pas seulement un canal d’attaque. Elle peut devenir une source de renseignement, un outil de persistance et un tremplin vers d’autres systèmes.

Une exposition souvent mal mesurée

Dans la majorité des incidents impliquant Exchange, les enquêtes révèlent le même constat : les serveurs compromis étaient connus des équipes IT, mais leur exposition réelle ; ports ouverts, accès OWA accessible sans authentification forte, journaux non supervisés, règles de transfert actives à l'insu de tous, n'avait jamais été cartographié précisément.

Ce n'est pas un problème de compétence. C'est un problème de visibilité.

La messagerie est tellement intégrée au fonctionnement quotidien qu'on oublie d'en faire le tour. Et en cas de crise cyber, c'est précisément ce canal, compromis ou simplement indisponible, qui manque le plus : pour coordonner la réponse, contacter les prestataires, prévenir les clients, piloter la reprise.

Conclusion

La faille CVE-2026-42897 rappelle que Microsoft Exchange reste encore aujourd'hui une cible stratégique et d'intérêt pour les groupes d'attaquants, surtout lorsqu’il est déployé sur site et exposé à Internet.

Mais le sujet dépasse largement cette vulnérabilité. Il interroge la manière dont les entreprises protègent leur messagerie, appliquent leurs correctifs, surveillent leurs accès, sécurise leurs échanges et préparent leur continuité d’activité.

L’email n’est pas un simple outil, c’est une infrastructure critique.

Le traiter comme une simple commodité revient à sous-estimer son rôle réel dans le fonctionnement de l’entreprise. La prochaine crise cyber ne commencera peut-être pas par un serveur chiffré ou une alerte spectaculaire. Elle commencera peut-être par un email spécialement conçu pour vous, consulté comme tous les matins.