Microsoft Exchange Server steht erneut im Fokus aktiver Angriffe. Die Schwachstelle CVE-2026-42897 betrifft lokale Exchange-Installationen und wird bereits ausgenutzt. Für den Angriff kann eine präparierte E-Mail ausreichen, wenn sie in Outlook Web Access geöffnet wird. Es handele sich um eine aktiv ausgenutzte Sicherheitslücke mit CVSS 8,1, die von Microsoft als kritisch bewertet wird.
Für Unternehmen mit eigenem Exchange Server ist das kein theoretisches Risiko. Exchange ist oft direkt aus dem Internet erreichbar und in Identitäten, E-Mail-Kommunikation, Kalendern und internen Prozessen verankert. Wird OWA gehackt, kann das weit über eine einzelne Mailbox hinausgehen.
CVE-2026-42897 ist eine Schwachstelle in Microsoft Exchange Outlook Web Access (OWA).
Technisch handelt es sich um ein Cross-Site-Scripting-Problem durch unzureichende Neutralisierung von Eingaben bei der Generierung von Webseiten. Dadurch kann ein Angreifer manipulierte Mails an potenzielle Opfer senden und dadurch unter bestimmten Bedingungen schädliches JavaScript im Browser des OWA-Nutzers ausführen.
Betroffen sind lokale Exchange-Server, also On-Premises-Installationen.
Dazu zählen:
Exchange Online ist laut Microsoft-Angaben nicht betroffen.
Für Unternehmen, die vollständig auf Exchange Online setzen, besteht daher nach aktuellem Stand kein Handlungsbedarf auf Serverebene.
Unternehmen mit Hybrid-Umgebungen sollten trotzdem prüfen, ob noch lokale Exchange-Komponenten betrieben werden.
Cross-Site Scripting klingt zunächst weniger dramatisch als Remote Code Execution auf dem Server – im Exchange-Kontext ist es das aber.
OWA läuft in einer authentifizierten Sitzung. Wenn Angreifer JavaScript im Browserkontext dieser Sitzung ausführen können, agiert der Code nicht als beliebiges Skript im Internet, sondern innerhalb einer legitimen Exchange-Websession. Dadurch entstehen Risiken wie:
Microsoft stellt derzeit eine Übergangsabsicherung über den Exchange Emergency Mitigation Service, kurz EEMS oder EM Service, bereit.
Dieser Dienst wurde mit dem September 2021 Cumulative Update für Exchange Server 2016 und 2019 eingeführt und wird auf Mailbox-Servern automatisch installiert. Edge-Transport-Server sind davon ausgenommen.
Der Dienst prüft stündlich beim cloudbasierten Office Config Service, ob neue Mitigationen vorliegen.
Ob der EEMS läuft, können IT-Admins mit dem Befehl prüfen:
Damit alles automatisch angewendet wird, muss bei beiden Befehlen „True“ als Ergebnis kommen:
Angewendete Mitigations können mit dem Befehl geprüft werden, die aktuelle Lücke wäre „M2.1.0“
Aus dem Skripts Ordner kann man die Konnektivität zur EMS Cloud prüfen, nur notwendig wenn „M2.1.0“ nicht in der Liste der angewendeten Mitigations steht:
Weitere Informationen zu den angewendeten Mitigations bekommt man mit diesem Skript:
Sollte die Konnektivität fehlschlagen, sollte man in der Firewall prüfen ob folgendes erreichbar ist:
Für Unternehmen mit lokalem Exchange Server sollte CVE-2026-42897 als akuter Security-Fall behandelt werden.
Hier sind die wichtigsten Schritte festgehalten:
officeclient.microsoft.com und Zertifikatsprüfungen sicherstellen.
Gerade der letzte Punkt ist wichtig: Viele Unternehmen schulen Mitarbeiter darauf, keine Anhänge zu öffnen und keine verdächtigen Links anzuklicken.
Security Awareness muss deshalb auch Webmail-Szenarien berücksichtigen.
Zero-Day CVE-2026-42897 zeigt erneut, warum lokale Exchange-Server dauerhaft eng überwacht werden müssen. Die Schwachstelle sitzt nicht irgendwo am Rand, sondern in einer zentralen Kommunikationsplattform. Da sie bereits aktiv ausgenutzt wird und der dauerhafte Patch noch aussteht, zählt jetzt vor allem dass Admins schnell reagieren und die schnelle und überprüfbare Umsetzung der Microsoft-Mitigation.
Für IT-Abteilungen bedeutet das: Nicht nur darauf vertrauen, dass EEMS standardmäßig aktiv ist, sondern den Status auf jedem Exchange-Server nachweisen. Wer EEMS nicht nutzen kann, sollte EOMT kontrolliert ausrollen. Und sobald Microsoft ein Security Update bereitstellt, muss die temporäre Maßnahme durch den regulären Patch-Prozess ergänzt werden.
Abonnieren Sie unseren Newsletter und erhalten Sie regelmäßig aktuelle Updates aus der IT-Welt.
