CVE-2026-70279: Cross-Site-Scripting in Microsoft Exchange Server ermöglicht Spoofing

Was passiert ist

Der CVE-Eintrag beschreibt CVE-2026-70279 als unsachgemäße Neutralisierung von Eingaben während der Generierung von Webseiten, eine Cross-Site-Scripting-Schwachstelle in Microsoft Exchange Server. Laut Microsoft kann ein nicht autorisierter Angreifer sie nutzen, um über ein Netzwerk Spoofing durchzuführen.

Gemäß dem CVSS-3.1-Vektor ist die Schwachstelle über das Netzwerk erreichbar, weist eine geringe Angriffskomplexität auf und erfordert keine Berechtigungen, setzt jedoch eine Benutzerinteraktion mit vom Angreifer kontrollierten Inhalten voraus. Der Vektor stuft die Auswirkungen auf Vertraulichkeit und Integrität als hoch ein; Auswirkungen auf die Verfügbarkeit sind nicht ausgewiesen.

CISA hat diese Schwachstelle nicht in den Katalog „Known Exploited Vulnerabilities“ aufgenommen, und Microsoft hat nicht angegeben, dass sie aktiv ausgenutzt wird. Microsofts Leitfaden für Sicherheitsupdates stuft das Problem als „Important“ ein; der CVE-Eintrag weist einen Basiswert von 9,3 aus.

Wer betroffen ist

Betroffen sind folgende Builds von Microsoft Exchange Server:

• Exchange Server 2016 Cumulative Update 23, Versionen 15.01.0.0 bis vor 15.01.2507.077
• Exchange Server 2019 Cumulative Update 14, Versionen 15.02.0.0 bis vor 15.02.1544.050
• Exchange Server 2019 Cumulative Update 15, Versionen 15.02.0.0 bis vor 15.02.1748.055
• Exchange Server Subscription Edition RTM, Versionen 15.02.0.0 bis vor 15.02.2562.056

Exchange Server ist die lokal betriebene E-Mail- und Kalenderplattform, die häufig zusammen mit Outlook im Web und dem Exchange Admin Center verwendet wird. Organisationen, die diese Builds einsetzen, sollten sich als betroffen betrachten, bis sie das passende Update vom Oktober 2026 installiert haben.

Was jetzt zu tun ist

1. Spielen Sie das Microsoft-Sicherheitsupdate vom Oktober 2026 ein, das zu Ihrer Exchange Server-Version passt:

• Exchange Server 2016 CU23: 15.01.2507.077 (KB5128898)
• Exchange Server 2019 CU14: 15.02.1544.050 (KB5128897)
• Exchange Server 2019 CU15: 15.02.1748.055 (KB5128896)
• Exchange Server Subscription Edition RTM: 15.02.2562.056 (KB5128895)

1. Microsofts Sicherheitshinweis nennt keine Problemumgehung; das Einspielen der Sicherheitsupdates ist daher die primäre Behebung.
2. Der CVSS-Vektor weist eine Benutzerinteraktion aus. Erinnern Sie Ihre Mitarbeiterinnen und Mitarbeiter deshalb daran, unerwartete Nachrichten und Weblinks mit Vorsicht zu behandeln, insbesondere bei Exchange-Anmeldeseiten.

Über den Patch hinaus

Eine über das Netzwerk erreichbare Schwachstelle in Exchange Server ist in erster Linie ein Problem des Angriffsflächen-Managements. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, die aus Ihrem Netzwerk erreichbaren Exchange-Dienste zu erfassen und Updates anhand dieser Angriffsfläche zu priorisieren. Denn ein Dienst, der ohne Authentifizierung über das Netzwerk erreichbar ist, ist genau das, was Angriffsflächen-Management aufdecken soll. Nach dem Einspielen der Updates bietet Managed Detection & Response (MDR) Transparenz über Identitäts- und E-Mail-Aktivitäten, die ein Spoofing-Angriff auszunutzen versucht.