Exchange-Server unter Beschuss: CVE-2026-42897 wird aktiv ausgenutzt
Microsoft hat am 14. Mai 2026 eine kritische Zero-Day-Schwachstelle in Exchange Server veröffentlicht — ausgerechnet an einem deutschen Feiertag. Die Schwachstelle CVE-2026-42897 wird bereits aktiv von Angreifern ausgenutzt. Betroffen sind alle Unternehmen, die Exchange on-premises betreiben und Outlook Web Access (OWA) einsetzen.
Für den Mittelstand ist das ein ernstes Problem: Viele KMU setzen noch auf lokale Exchange-Server, oft mit veralteten Update-Ständen. Wer jetzt nicht handelt, riskiert Datenabfluss und kompromittierte E-Mail-Konten.
Was macht CVE-2026-42897 so gefährlich?
Die Schwachstelle nutzt eine fehlerhafte Eingabevalidierung in der Weboberfläche von Exchange (Cross-Site-Scripting). Ein Angreifer muss lediglich eine manipulierte E-Mail an das Zielunternehmen senden. Öffnet ein Mitarbeiter diese E-Mail in Outlook Web Access, wird beliebiges JavaScript im Browser ausgeführt.
Konkret bedeutet das:
- Session-Hijacking: Angreifer übernehmen die aktive OWA-Sitzung
- Datenabfluss: E-Mails, Kontakte und Kalendereinträge werden ausgelesen
- Lateral Movement: Über die gekaperte Session können weitere interne Systeme angegriffen werden
- Kein Exploit-Kit nötig: Die E-Mail selbst ist der Angriffsvektor
Microsoft stuft die Schwachstelle mit einem CVSS-Score von 8.1 als kritisch ein. Betroffen sind Exchange Server 2016, 2019 und die neue Subscription Edition — jeweils alle Update-Stände.
Warum der Mittelstand besonders betroffen ist
Exchange Online (Microsoft 365) ist nicht betroffen. Das Problem trifft gezielt Unternehmen mit lokaler Exchange-Infrastruktur — und das sind im DACH-Raum viele:
- Regulatorische Gründe: Branchen wie Recht, Gesundheit und Finanzen betreiben Exchange oft on-premises wegen Compliance-Anforderungen
- Ressourcenmangel: Kleine IT-Teams patchen oft verzögert — besonders wenn Sicherheitsupdates an Feiertagen erscheinen
- Fehlende Sichtbarkeit: Ohne regelmäßige Sicherheitsanalysen bleiben solche Schwachstellen unentdeckt
Die Veröffentlichung am Feiertag verschärft das Risiko zusätzlich: Angreifer wissen, dass viele IT-Abteilungen nicht besetzt sind.
Sofortmaßnahmen: Was Sie jetzt tun sollten
1. Exchange Emergency Mitigation prüfen: Microsoft stellt über den standardmäßig aktivierten Exchange Emergency Mitigation Service (EEMS) eine vorübergehende Abhilfe bereit. Prüfen Sie, ob der Dienst auf Ihrem Server aktiv ist und die Regel für CVE-2026-42897 angewendet wurde.
2. Mai-Sicherheitsupdate installieren: Das kumulative Update vom Patchday Mai 2026 behebt die Schwachstelle vollständig. Installieren Sie es so schnell wie möglich — auch wenn es einen Neustart des Exchange-Servers erfordert.
3. OWA-Zugriff temporär einschränken: Wenn ein sofortiges Patchen nicht möglich ist, schränken Sie den externen Zugriff auf Outlook Web Access ein. VPN-Pflicht für OWA-Zugriff reduziert die Angriffsfläche erheblich.
4. Logs prüfen: Untersuchen Sie die IIS-Logs Ihres Exchange-Servers auf verdächtige Aktivitäten seit dem 14. Mai. Achten Sie auf ungewöhnliche JavaScript-Fragmente in HTTP-Anfragen.
5. Langfristig: Angriffsfläche reduzieren. Jeder on-premises Exchange ist ein potenzielles Einfallstor. Eine professionelle Sicherheitsberatung hilft bei der Entscheidung zwischen Cloud-Migration und gehärteter On-Premises-Infrastruktur.
Fazit: Exchange-Schwachstellen sind keine Ausnahme mehr — sie sind die Regel
CVE-2026-42897 ist bereits die dritte kritische Exchange-Schwachstelle in diesem Jahr. Das Muster ist eindeutig: On-Premises-Exchange bleibt ein bevorzugtes Angriffsziel. Unternehmen, die ihre E-Mail-Infrastruktur nicht aktiv überwachen und zeitnah patchen, setzen sich einem vermeidbaren Risiko aus.
Die Frage ist nicht mehr ob Ihr Exchange-Server angegriffen wird, sondern wann. Wer seine IT-Sicherheit professionell aufstellen will, findet bei AntiLeaks die passende Unterstützung — von der Schwachstellenanalyse bis zum Incident Response.