Auf den Punkt: Microsoft warnt vor einer aktiv ausgenutzten Zero-Day-Lücke in Exchange (CVE-2026-42897, CVSS 8.1), für die noch kein Patch existiert, weshalb Administratoren sofort die empfohlenen Gegenmaßnahmen umsetzen müssen.
Microsoft warnt vor einer Zero-Day-Lücke in Exchange, die bereits aktiv von Angreifern ausgenutzt wird. Ein Patch steht noch nicht zur Verfügung, weshalb Administratoren umgehend die von Microsoft empfohlenen Gegenmaßnahmen umsetzen müssen.
Microsoft hat eine Sicherheitswarnung zu einer aktiv ausgenutzten Zero-Day-Schwachstelle in Exchange veröffentlicht, die unter der Kennung CVE-2026-42897 geführt wird. Die Lücke erhält einen CVSS-Wert von 8,1 (Hochrisiko), wird von Microsoft selbst jedoch als „kritisch“ eingestuft. Ursache ist eine unzureichende Input-Sanitization bei der Generierung von Webseiten, die zu einer Cross-Site-Scripting-Schwachstelle (XSS) führt. Nicht authentifizierte Angreifer können den Fehler über das Netzwerk ausnutzen, um Spoofing-Angriffe durchzuführen.
Für Exchange-Administratoren im Enterprise-Umfeld bedeutet dies unmittelbaren Handlungsbedarf: Ein Software-Update, das die Lücke schließt, liegt zum Zeitpunkt der Warnung noch nicht vor. Da die Schwachstelle bereits in freier Wildbahn ausgenutzt wird, verschiebt sich das Risiko von einer theoretischen Bedrohung zu einem aktiven Angriffsvektor gegen Exchange-Umgebungen – ein Szenario, das angesichts der zentralen Rolle von Exchange für E-Mail- und Kollaborationsinfrastrukturen in Unternehmen besonders sensibel ist.
Microsoft hat die Details zur Schwachstelle, das zugrundeliegende Angriffsszenario sowie konkrete Gegenmaßnahmen in einem Blogbeitrag des Exchange-Teams veröffentlicht. Administratoren sollten diesen Beitrag konsultieren und die dort beschriebenen Maßnahmen unverzüglich umsetzen, bis ein offizielles Sicherheitsupdate bereitsteht. Angesichts der fehlenden Authentifizierungsanforderung für die Ausnutzung empfiehlt sich zudem eine erhöhte Überwachung exponierter Exchange-Server auf verdächtige Aktivitäten.
Quelle: www.heise.de · Erschienen 15. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.