Em um comunicado divulgado nesta quarta-feira, a Microsoft revelou que desativará o OWA Light, a versão leve do Outlook Web App, em uma atualização futura do Exchange Server. O anúncio foi feito pelo blog oficial da empresa e já gerou repercussão entre administradores de TI que utilizam o cliente mais enxuto em ambientes corporativos.

O OWA Light foi criado para oferecer uma experiência de e‑mail mais rápida em dispositivos com recursos limitados, navegadores antigos ou conexões de rede lentas. Entretanto, o cliente leve utiliza tecnologias obsoletas e possui menos camadas de segurança em comparação ao OWA completo. A Microsoft afirmou fiind que a desativação visa reduzir a superfície de ataque e consolidar o desenvolvimento em um único cliente mais robusto.

Para quem já usa o OWA Light, o comunicado traz a mensagem de que a funcionalidade será desabilitada em versões futuras do Exchange Server, mas não há data oficial de lançamento. A empresa recomenda que os administradores planejem a migração para o OWA padrão antes de atualizar o servidor.

No Brasil, a mudança pode ter impacto direto em empresas de médio e grande porte que dependem do Exchange Server para comunicação interna e externa. Muitas organizações ainda mantêm versões antigas do Exchange que utilizam o OWA Light como alternativa de acesso rápido para colaboradores que trabalham em campo ou em dispositivos móveis de baixo custo. A desativação pode exigir ajustes na infraestrutura de TI, como a atualização de servidores, a reconfiguração de políticas de acesso e a capacitação de usuários para a nova interface.

A Lei Geral de Proteção de Dados (LGPD) entra em cena quando se considera a coleta e o tratamento de informações pessoais via e‑mail. O OWA Light, por ser mais simples, pode não oferecer recursos avançados de criptografia e autenticação que o OWA completo disponibiliza, como TLS 1.2, multifator e políticas de retenção. Assim, a migração para o cliente completo pode ajudar as empresas a atender requisitos de conformidade, reduzindo o risco de vazamentos e garantido maior controle sobre dados sensíveis.

Tecnicamente, o OWA Light funciona como um wrapper de HTML5 que carrega apenas partes essenciais da interface do Outlook Web App. Ele utiliza Ajax para buscar emails e armazenar dados localmente em caches menores. Isso reduz a carga no servidor, mas também abre brechas para ataques de Cross‑Site Scripting (XSS) e Cross‑Site Request Forgery (CSRF), pois o código JavaScript pode ser injetado em páginas que não são rigorosamente sanitizadas. Além disso, a versão leve não suporta autenticação multifator de forma nativa, o que o torna vulnerável a sessões hijacked.

A Microsoft observou que a maioria das vulnerabilidades divulgadas em pesquisas de segurança estavam associadas ao OWA Light. Em 2023, pesquisadores identificaram mais de 20 CVEs ligados a falhas de validação de entrada e de sessão no cliente leve. A decisão de descontinuar o OWA Light, portanto, é uma resposta direta a esses incidentes, alinhando a empresa a práticas de segurança mais modernas.

Para evitar surpresas, os administradores Repeat devem seguir alguns passos concretos:

1. Verificar a versão atual do Exchange Server e planejar a atualização para a última versão suportada, que já inclui o OWA completo como padrão.
2. Desativar o OWA Light nas políticas de acesso, editando a configuração no Centro de Administração do Exchange e removendo a opção “Light” do menu de acesso.
3. Realizar testes de migração com usuários chave, garantindo que a transição para o OWA completo não afete fluxos críticos de negócios.
4. Atualizar as políticas de segurança de e‑mail, habilitando TLS 1.2/1.3, MFA e criptografia de ponta a ponta para mensagens sensíveis.
5. Comunicar a mudança a todos os usuários, oferecendo treinamento sobre a nova interface e destacando as melhorias de segurança.

A expectativa é que, nos próximos dias, a Microsoft libere uma atualização de patch que inclua a desativação automática do OWA Light em servidores que não tenham sido atualizados. Empresas que permanecerem inativas podem enfrentar a impossibilidade de acessar o e‑mail via clientes leves, o que pode afetar especialmente equipes que trabalham em regiões com conectividade limitada.

Em síntese, a descontinuação do OWA Light representa um passo importante na consolidação de soluções de e‑mail mais seguras no ecossistema Microsoft. Embora exija um esforço inicial de migração, a mudança pode reduzir a exposição a vulnerabilidades conhecidas e alinhar as empresas brasileiras às melhores práticas de segurança de dados, perpetrators of data breaches e compliance requirements.

Para os próximos dias, a expectativa é que as organizações que utilizam o Exchange Server revisem suas infraestruturas e planejem atualizações de maneira proativa. A Microsoft deverá publicar diretrizes detalhadas para a migração em seu portal de administração, e os administradores de TI devem estar atentos às instruções para garantir que a transição seja suave e sem interrupções nos serviços corporativos.

Fonte: BleepingComputer