Microsoft Exchange Zero-Day: Kritische Lücke wird aktiv ausgenutzt

Microsoft warnt vor einer kritischen Sicherheitslücke in Exchange Server, die bereits in freier Wildbahn ausgenutzt wird. Ein Sicherheitspatch liegt noch nicht vor, doch das Unternehmen stellt Gegenmaßnahmen bereit, die Administratoren umgehend umsetzen sollten.

Bei der Schwachstelle handelt es sich um eine Cross-Site-Scripting-Lücke (XSS), die auf unzureichende Filterung von Eingaben bei der Generierung von Webseiten zurückgeht. Angreifer können dadurch Spoofing-Angriffe aus dem Netz durchführen, ohne sich zu authentifizieren (CVE-2026-42897, CVSS 8.1, Risiko „hoch“). Microsoft selbst stuft den Schweregrad jedoch als „kritisch“ ein.

Die Lücke betrifft offenbar Outlook Web Access (OWA). Angreifer können manipulierte E-Mails an Opfer senden. Öffnet der Nutzer die Nachricht in OWA und erfüllt bestimmte, nicht näher erläuterte Interaktionsbedingungen, wird beliebiges JavaScript im Browser ausgeführt.

Betroffen sind Exchange Server 2016, 2019 sowie die Exchange Server Subscription Edition (SE) – jeweils in jedwedem Update-Level. Microsoft stellt keine regulären Software-Updates bereit, bietet aber einen automatischen Fix über den Exchange Emergency Mitigation (EM) Service an. Wo der Dienst aktiv ist, hat Microsoft die Maßnahmen bereits angewendet.

Der EM Service wird seit September 2021 verteilt und standardmäßig aktiviert. In einem Blog-Beitrag zeigt Microsoft zudem eine manuelle Variante der Gegenmaßnahmen. Administratoren sollten den Einsatz so schnell wie möglich prüfen.

Die Gegenmaßnahmen haben jedoch Nebenwirkungen: Das Drucken von Kalendern in OWA funktioniert möglicherweise nicht mehr, Inline-Bilder werden im Empfänger-Panel nicht korrekt angezeigt, und OWA Light könnte gestört werden – Letzteres gilt allerdings bereits als veraltet („deprecated“). In den Mitigation-Details zeigt der Status fälschlicherweise „ungültig“ an; das sei rein kosmetisch, so Microsoft. Solange „Applied“ erscheint, greift die Maßnahme wirksam.

Das Exchange-Team arbeitet an einem dauerhaften Fix, der künftig als Update für Exchange SE RTM, Exchange 2016 CU23 sowie Exchange 2019 CU14 und CU15 erscheinen soll. Wer Exchange 2016 oder 2019 einsetzt, benötigt dafür die zweite Stufe der erweiterten Sicherheitsupdates (ESU).

Weitere Details zum Emergency-Mitigation-Service stellt Microsoft auf einer eigenen Webseite bereit. Administratoren sollten diese Informationen dringend studieren, um ihre Systeme zu schützen.