Kritische Zero-Day-Schwachstelle in Microsoft Exchange Server entdeckt
Microsoft hat eine schwerwiegende Sicherheitslücke in Exchange Server gemeldet, die bereits aktiv von Angreifern ausgenutzt wird. Die als CVE-2026-42897 klassifizierte Schwachstelle ermöglicht Cross-Site-Scripting-Angriffe und wird von Microsoft trotz CVSS-Score 8.1 als "kritisch" eingestuft. Besonders problematisch: Zum Zeitpunkt der Warnung stehen noch keine regulären Software-Updates zur Verfügung.
Die Schwachstelle basiert auf unzureichender Filterung von Eingaben bei der Generierung von Webseiten und ermöglicht es nicht authentifizierten Angreifern aus dem Netzwerk, Spoofing-Angriffe durchzuführen. Betroffen sind alle Versionen von Exchange Server 2016, 2019 sowie Exchange Server Subscription Edition in sämtlichen Update-Levels.
Angriffsszenario über Outlook Web Access
Die Schwachstelle zielt speziell auf Outlook Web Access (OWA) ab. Angreifer können manipulierte E-Mails an potenzielle Opfer versenden. Wenn Nutzer diese E-Mails in OWA öffnen und bestimmte Interaktionsbedingungen erfüllt sind, wird beliebiges JavaScript im Browser des Opfers ausgeführt.
Dieses Angriffsszenario macht die Schwachstelle besonders gefährlich für Unternehmen, da viele Organisationen OWA für den externen E-Mail-Zugriff ihrer Mitarbeiter nutzen. Die Tatsache, dass die Lücke bereits in freier Wildbahn ausgenutzt wird, erhöht das Risiko für betroffene Systeme erheblich.
Betroffene Systeme und Versionen
Alle Exchange Server-Installationen der folgenden Versionen sind von der Schwachstelle betroffen:
- Exchange Server 2016 (alle Update-Level)
- Exchange Server 2019 (alle Update-Level)
- Exchange Server Subscription Edition (alle Update-Level)
Notfall-Maßnahmen und verfügbare Gegenmaßnahmen
Obwohl noch keine regulären Software-Updates verfügbar sind, bietet Microsoft über den Exchange Emergency Mitigation (EM) Service automatische Gegenmaßnahmen an. Dieser Dienst wird seit September 2021 verteilt und ist standardmäßig aktiviert. In Systemen, auf denen der EM-Service aktiv ist, hat Microsoft die Schutzmaßnahmen bereits automatisch angewendet.
Zusätzlich stellt Microsoft eine manuelle Variante der Gegenmaßnahmen zur Verfügung, die Administratoren eigenständig implementieren können. Diese temporären Fixes sollen die Schwachstelle eindämmen, bis permanente Updates verfügbar sind.
Bekannte Nebenwirkungen der Schutzmaßnahmen
Die implementierten Gegenmaßnahmen bringen einige funktionale Einschränkungen mit sich, über die Administratoren informiert sein sollten:
- Das Drucken von Kalendern in OWA könnte nicht mehr funktionieren
- Inline-Bilder werden im Empfänger-Panel nicht mehr korrekt angezeigt
- OWA Light könnte nicht mehr ordnungsgemäß funktionieren (diese Funktion gilt bereits als veraltet)
- Die Mitigation-Details zeigen möglicherweise an, dass die Gegenmaßnahme für die Exchange-Version ungültig sei - dies ist jedoch nur ein kosmetisches Problem
Entscheidend ist der Status "Applied" in den Mitigation-Details, der anzeigt, dass die Schutzmaßnahmen erfolgreich implementiert wurden.
Bedeutung für die IT-Sicherheit
Diese Schwachstelle unterstreicht erneut die kritische Bedeutung von E-Mail-Systemen als Angriffsziel für Cyberkriminelle. Cross-Site-Scripting-Angriffe über E-Mail-Plattformen können weitreichende Folgen haben, da sie es Angreifern ermöglichen, schädlichen Code im Kontext vertrauenswerter Anwendungen auszuführen.
Für Unternehmen, die auf Exchange Server angewiesen sind, zeigt dieser Vorfall die Wichtigkeit proaktiver Sicherheitsmaßnahmen auf. Die Tatsache, dass Microsoft zunächst nur Notfall-Patches bereitstellt, verdeutlicht die Komplexität moderner IT-Infrastrukturen und die Herausforderungen bei der schnellen Behebung kritischer Schwachstellen.
Empfehlungen für IT-Administratoren
IT-Verantwortliche sollten umgehend folgende Schritte unternehmen:
- Überprüfung, ob der Exchange Emergency Mitigation Service aktiviert ist und ordnungsgemäß funktioniert
- Falls erforderlich, manuelle Implementierung der von Microsoft bereitgestellten Gegenmaßnahmen
- Monitoring der Exchange-Systeme auf ungewöhnliche Aktivitäten
- Sensibilisierung der Nutzer für verdächtige E-Mails, insbesondere beim Zugriff über OWA
- Vorbereitung auf die Installation permanenter Updates, sobald diese verfügbar sind
Ausblick und permanente Lösung
Das Exchange-Team von Microsoft arbeitet bereits an einem permanenten Fix für die Schwachstelle. Diese ordnungsgemäße Lösung soll als Update für verschiedene Exchange-Versionen erscheinen: Exchange SE RTM, Exchange 2016 CU23 sowie Exchange Server 2019 CU14 und CU15.
Administratoren von Exchange 2016 oder 2019 müssen jedoch beachten, dass sie für diese Updates die zweite Stufe der erweiterten Sicherheitsupdates (ESU) abonniert haben müssen. Dies unterstreicht die Bedeutung aktueller Wartungsverträge für kritische Infrastrukturkomponenten.
Der Vorfall zeigt exemplarisch, wie schnell sich die Bedrohungslage in der IT-Sicherheit ändern kann. Zero-Day-Schwachstellen, die bereits aktiv ausgenutzt werden, erfordern schnelle und entschlossene Reaktionen von IT-Verantwortlichen. Die Bereitstellung automatischer Notfall-Maßnahmen durch Microsoft demonstriert dabei neue Ansätze im Umgang mit kritischen Sicherheitslücken.
