Kritische Exchange-Lücke CVE-2026-42897 wird bereits angegriffen

Microsoft warnt vor einer neuen Schwachstelle in lokalen Microsoft-Exchange-Servern. Betroffen sind Unternehmen, Behörden und Organisationen, die weiterhin eigene Exchange-Server betreiben – insbesondere mit Outlook Web Access (OWA).

Die Lücke trägt die Kennung CVE-2026-42897 und erreicht einen CVSS-Score von 8.1. Es handelt sich um eine Cross-Site-Scripting-Schwachstelle (XSS), die Angreifern Spoofing-Angriffe über das Netzwerk ermöglicht.

Laut Microsoft sind ausschließlich lokale („on-prem") Exchange-Installationen betroffen:

Exchange-Server gehören seit Jahren zu den beliebtesten Angriffszielen weltweit. Bereits bei ProxyLogon und ProxyShell wurden hunderttausende Systeme kompromittiert – oft innerhalb weniger Stunden nach Veröffentlichung technischer Details. Die neue Lücke in OWA reiht sich nahtlos in diese Historie ein.

Microsoft hat derzeit noch keinen finalen Sicherheits-Patch veröffentlicht. Stattdessen verweist der Konzern auf temporäre Schutzmaßnahmen über den sogenannten Exchange Emergency Mitigation Service (EEMS).

Unternehmen mit isolierten oder abgeschotteten Netzwerken („Air-Gap") müssen die empfohlenen manuellen Mitigationsschritte umsetzen. Der EEMS-Status sollte zwingend verifiziert und dokumentiert werden – ein „aktiviert" allein reicht nicht.

1. 1

   Initial Access über manipulierte Inhalte / E-Mail an OWA

2. 2

   Spoofing der OWA-Oberfläche bzw. Übernahme einer Sitzung

3. 3

   Diebstahl von Credentials und Session-Tokens

4. 4

   Persistenz über neue Konten, Weiterleitungsregeln oder Webshells

5. 5

   Privilege Escalation in Richtung Exchange- und AD-Admin

6. 6

   Laterale Bewegung in Richtung File-Server, Backups, Domain-Controller

1. 1

   Exchange-Versionen erfassen (2016, 2019, Subscription Edition) und Patch-Stand prüfen

2. 2

   Exchange Emergency Mitigation Service (EEMS) aktivieren bzw. Status verifizieren

3. 3

   OWA NICHT öffentlich erreichbar lassen – Zugriff nur über VPN oder Reverse-Proxy mit MFA

4. 4

   Logs auf ungewöhnliche OWA-Logins, neue Weiterleitungsregeln, neue Admin-Konten prüfen

5. 5

   Verdächtige PowerShell-Aktivität und JavaScript-Inhalte auf dem Server analysieren

6. 6

   MFA für alle Postfächer und Admin-Zugänge erzwingen

7. 7

   EDR/XDR auf Exchange-Server scharfschalten und ins SOC-Monitoring einbinden

8. 8

   Hybrid-Konfiguration kritisch prüfen – alte Konnektoren und Service-Konten bereinigen

Bei Exchange gilt: Nicht die Frage ist, ob Angreifer scannen – sondern nur, wann.

Microsoft hatte bereits 2025 vor gefährlichen Hybrid-Konfigurationen gewarnt, bei denen lokale Exchange-Systeme ihre Cloud-Umgebungen kompromittieren können. Tausende Server blieben damals ungepatcht – allein mehrere Tausend in Deutschland.

Wer Exchange weiterhin lokal betreibt, sollte alte Hybrid-Konnektoren, Service-Konten und delegierte Berechtigungen aktiv aufräumen. Sonst wird aus einer einzelnen On-Prem-Lücke schnell ein Cloud-Vorfall.

Patches und EEMS sind notwendig, aber nicht ausreichend. Diese Maßnahmen reduzieren das Risiko künftiger Exchange-Angriffe:

Microsoft Exchange Server bleibt eines der gefährlichsten Einfallstore in Unternehmensnetzwerken. Die aktive Ausnutzung von CVE-2026-42897 zeigt erneut, wie schnell ungepatchte Systeme zum Ziel werden – und dass „Patch-Day abwarten" für On-Prem-Exchange längst keine Option mehr ist.

Wir empfehlen: Systeme prüfen, EEMS aktivieren, OWA aus dem Internet nehmen, Logs analysieren und EDR/XDR scharfschalten. Langfristig sollten Unternehmen ehrlich evaluieren, ob On-Prem-Exchange wirklich noch der richtige Weg ist – oder ob eine Migration nach Microsoft 365 die Angriffsfläche dauerhaft reduziert.

Bei Exchange gilt seit Jahren: Nicht die Frage ist, ob Angreifer scannen – sondern nur, wann.