LONDON (IT BOLTWISE) – Microsoft meldet eine aktive Ausnutzung einer Exchange-Server-Zero-Day-Schwachstelle (CVE-2026-42897) durch speziell präparierte E-Mails. Betroffene Unternehmen müssen vorerst eine Notfall-Minderung anwenden, weil es für On-Prem-Installationen noch keinen dauerhaften Patch gibt. Besonders kritisch ist, dass die Lücke bei geöffnetem Posteingang im Outlook-Webzugriff (OWA) unter bestimmten Bedingungen beliebigen JavaScript-Code im Browser ausführen kann. Für Cloud-Nutzer (Exchange Online) gilt die Meldung hingegen nicht.
Microsoft warnt vor einer aktuell ausgenutzten Zero-Day-Lücke in Exchange Server, die über eine präparierte E-Mail einen Cross-Site-Scripting-Angriff (XSS) im Outlook Web Access (OWA) anstößt. Die Besonderheit liegt nicht nur in der hohen Schwere (CVSS 8,1), sondern vor allem in der Angriffslogik: Ein Angreifer muss keine Authentifizierung umgehen und keinen Serverzugriff erhalten; der Einstieg erfolgt vielmehr über den Posteingang. Für viele Organisationen, die auf On-Premises-Exchange setzen, ist das ein unmittelbares Risiko, weil der Mail- und Kalenderzugriff integraler Bestandteil von Behörden, Finanzinstituten und mittelständischen IT-Landschaften ist. Gleichzeitig betont Microsoft, dass Exchange Online nicht betroffen ist.
Technisch wird CVE-2026-42897 als Schwachstelle im OWA-Baustein beschrieben, genauer im Kontext der Web-Generierung auf dem Weg vom Inhalt der E-Mail zur gerenderten HTML-Seite im Browser. Microsoft ordnet das Problem als Spoofing-Thematik ein und nennt eine unzureichende Neutralisierung von Eingaben während der Webseitenerzeugung. Praktisch bedeutet das: Wird eine speziell gestaltete Nachricht in OWA unter bestimmten Interaktionsbedingungen geöffnet, kann im Browserkontext des Opfers beliebiges JavaScript laufen. Weil das Verhalten clientseitig im Session-Kontext stattfindet, können Angreifer je nach Ausstattung der Opferumgebung Session- oder UI-gestützte Aktionen missbrauchen, ohne dass sie direkt auf den Server gelangen.
Betroffen sind laut Microsoft Exchange Server 2016, Exchange Server 2019 sowie die Exchange-Server-Subscription-Edition, und zwar unabhängig von der konkreten Update-Stufe. Cloud-Instanzen (Exchange Online) werden explizit ausgenommen, was in der Praxis häufig daran liegt, dass Architektur, Patch-Strategien und Betriebsgrenzen zwischen On-Prem und SaaS deutlich variieren. Die zeitliche Einordnung ist ebenfalls brisant: Die Schwachstelle tauchte nur zwei Tage nach dem regulären Patch-Zyklus (Patch Tuesday) auf, der zwar zahlreiche Lücken schloss, aber keine Zero-Days in den Release Notes offenlegte. Das unterstreicht, wie schnell Lücken zwischen erster Entdeckung und realer Ausnutzung in der Sicherheitsbranche „durchlaufen“ können.
Auf der Markt- und Ökosystemebene zeigt sich einmal mehr, wie eng Sicherheitsprozesse mit Compliance und Behördenvorgaben verflochten sind. Die US-Behörde CISA hat die Schwachstelle in den „Known Exploited Vulnerabilities“-Katalog aufgenommen und damit eine formelle Erwartung an die Remediation gesetzt. Federal Civilian Executive Branch agencies sollen bis zum 29. Mai reagieren. In der Praxis ist dieser Katalog für viele Unternehmen ein Signal, die Patch- und Minderungsläufe zu beschleunigen, weil die juristische und auditierbare Seite dann stärker getaktet ist als in rein freiwilligen „Best-Effort“-Programmen. Zudem haben kriminelle Gruppen in der Vergangenheit wiederholt Exchange-bezogene Schwächen genutzt, um in Unternehmensumgebungen einzudringen und später Ransomware-Angriffe zu eskalieren.
Für die unmittelbare Abwehr hat Microsoft eine Notfallminderung über die Exchange Emergency Mitigation Service (EEMS) bereitgestellt, konkret als M2.1.x. Diese greift automatisch über URL-Rewrite-Konfigurationen auf Mailbox-Servern, auf denen der Service standardmäßig aktiviert ist. Administrierende können den Status mit dem Exchange Health Checker verifizieren, der über ein Microsoft-Kommando und Skriptaufrufe nachvollziehbar macht. In „air-gapped“ oder stark getrennten Umgebungen, in denen der EEMS-Dienst Microsofts Infrastruktur nicht erreichen kann, wird die manuelle Variante über ein On-premises-Mitigation-Tool notwendig. Dort lässt sich die Minderung per Exchange Management Shell auf ein einzelnes System oder rollenbasiert auf die gesamte Exchange-Flotte ausrollen.
Wichtig ist dabei, dass die Minderung auch spürbare Funktionsfolgen hat. Nach der Anwendung stoppt die OWA-Print-Calendar-Funktion, und Inline-Bilder werden in den Leseansichten innerhalb von OWA nicht mehr korrekt dargestellt. Zusätzlich betrifft es OWA Light, das über eine URL mit dem Parameter „?layout=light“ aufgerufen wird; dieses Interface wird nach der Minderung ebenfalls unbrauchbar. Microsoft betrachtet OWA Light schon seit Jahren nicht mehr als produktionsreif, dennoch müssen Unternehmen, die noch darauf angewiesen sind, Nutzer konsequent auf die Standard-OWA-URL umleiten. Damit wird deutlich: Sicherheitspatches sind nicht nur „Fix“, sondern beeinflussen auch UX-Flows, Support-Aufwände und Change-Management.
Ein dauerhafter Patch ist derzeit noch nicht verfügbar. Microsoft arbeitet an einer langfristigen Lösung und hat noch keine belastbare Veröffentlichungsspur kommuniziert. Sobald verfügbar, soll die Exchange-Server-Subscription-Edition den fix über den normalen Update-Kanal erhalten. Für Exchange Server 2016 und 2019 erfolgt die dauerhafte Bereitstellung ausschließlich über das Period 2 Extended Security Update Programm. Wer ältere Versionen ohne ESU-Einschreibung betreibt, bleibt daher bis zur manuellen Anwendung der Notfallminderung exponiert. In Bezug auf die Bedrohungsakteure bleibt Microsoft zudem zurückhaltend: Es wurden keine konkreten Tätergruppen identifiziert, und es gibt keine Angaben dazu, welche Organisationen angegriffen wurden.
Interessant ist die Gegenüberstellung zu proaktiven Erkennungsansätzen. Laut Microsoft hat das MDASH-AI-Modell kürzlich 16 kritische Windows-Schwachstellen identifiziert, bevor Angreifer daran ansetzen konnten. Im Fall von CVE-2026-42897 wirkt das wie ein Kontrast: Die aktuelle Zero-Day-Welle scheint diese Art von Frühwarnung zunächst nicht aufgesogen zu haben, oder sie kam zeitlich nicht früh genug an operative Schutzsysteme. Für die Branche bedeutet das: Neben Patch-Disziplin und Notfall-Mitigations rücken zusätzliche Schutzschichten in den Fokus, etwa Secure-Rendering, strengere Content-Sicherheitsrichtlinien im Browserkontext und eine konsequente E-Mail-Sicherheitskette (z. B. Vorfilterung durch Anbieter wie Proofpoint oder Mimecast). Exakt solche Zwischenebenen entscheiden oft darüber, wie viel Zeit Unternehmen im Angriffsfenster gewinnen.
Für die nächsten Wochen sollten Unternehmen ihre Fahrpläne deshalb klar strukturieren: Erstens die EEMS- oder Tool-basierte Minderung verlässlich validieren, auch wenn kosmetische Statusanzeigen irreführen. Microsoft weist darauf hin, dass in einzelnen Fällen „Mitigation invalid for this exchange version“ erscheinen kann, während die Fix-Bedingung korrekt erfüllt ist, wenn die Spalte „Applied“ lautet. Zweitens müssen Security und IT-Betrieb die UX-Auswirkungen dokumentieren und in Kommunikation sowie Supportprozesse integrieren. Experten aus dem Security-Umfeld betonen in solchen Phasen typischerweise, dass „die schnellste Minderung die beste ist – aber die beste Minderung muss auch die Betriebsfähigkeit der Kommunikation sichern“. Drittens sollten Organisationen den Weg Richtung Cloud oder modernere Update-Modelle strategisch prüfen, weil On-Prem-Exchange bei Zero-Day-Wellen regelmäßig zum zentralen Engpass wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Exchange-Server-Zero-Day per E-Mail ausgenutzt: OWA-XSS ohne Permanent-Patch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Exchange-Server-Zero-Day per E-Mail ausgenutzt: OWA-XSS ohne Permanent-Patch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Exchange-Server-Zero-Day per E-Mail ausgenutzt: OWA-XSS ohne Permanent-Patch« bei Google Deutschland suchen, bei Bing oder Google News!