CVE-2026-42897
Microsoft Exchange Server Cross-Site Scripting Vulnerability
Beschreibung
CVE-2026-42897 ist eine HIGH-Cross-Site-Scripting-(XSS)-Schwachstelle in Microsoft Exchange Server, die einem unauthentifizierten Remote-Angreifer Spoofing über das Netzwerk ermöglicht, mit einem CVSS-3.1-Score von 8.1. Die Schwachstelle entsteht durch unzureichende Neutralisierung benutzergesteuerter Eingaben bei der Generierung von Webseiten in der Exchange-Server-Weboberfläche: Ein Angreifer kann präparierten Skript-Inhalt einschleusen, den der Server im Browser-Kontext des Opfers im vertrauenswürdigen Exchange-Origin ausführt. Die Ausnutzung erfordert Benutzerinteraktion (ein Opfer muss einen vom Angreifer bereitgestellten Inhalt aufrufen oder mit ihm interagieren), aber weder Privilegien noch eine vorherige Authentifizierung. Eine erfolgreiche Ausnutzung erlaubt es dem Angreifer, die authentifizierte Exchange-Sitzung des Opfers zu übernehmen, Mails als das Opfer zu lesen oder zu senden, Credentials abzugreifen und tiefer in Microsoft 365 / Active-Directory-integrierte Dienste zu pivotieren. CISA hat CVE-2026-42897 am 15. Mai 2026 in den KEV-Katalog aufgenommen, mit einer Patch-Frist 29. Mai 2026; der EPSS-Score von 0.123 (93,96. Perzentil) signalisiert hohen beobachteten Ausnutzungsdruck.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | exchange server | 2016; 2019 |
| microsoft | exchange server subscription edition | < 15.02.2562.043 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42897(US Government Resource)
Schwachstellentyp
CWE-79: Unsachgemäße Neutralisierung von Eingaben während der Webseitengenerierung ('Cross-site Scripting')
CWE-79 beschreibt den Fall, in dem eine Anwendung benutzergesteuerte Eingaben annimmt und in eine an andere Benutzer ausgelieferte Webseite einbettet, ohne zuvor kontextgerechte Ausgabecodierung anzuwenden. In CVE-2026-42897 spiegelt die Web-Schicht von Microsoft Exchange Server vom Angreifer kontrollierten Inhalt in vom Exchange ausgelieferten HTML-Code wider — typischerweise Outlook on the Web oder Admin-Endpunkte — sodass ein präparierter Payload JavaScript im vertrauenswürdigen Origin exchange.contoso.com ausführt und Session-Cookies, Anti-CSRF-Tokens und OAuth-Bearer-Tokens des Opfers übernimmt. Das Ausnutzungsmuster ist klassisch für Spoofing-Ketten: Der Skript-Body fälscht UI-Elemente, leitet auf Angreifer-Infrastruktur um oder feuert lautlos authentifizierte Mailbox-API-Aufrufe, die scheinbar vom Opfer stammen.
Mehr erfahren: CWE-79 — Cross-site Scripting
Auswirkungsanalyse
CVE-2026-42897 wird mit HIGH und einem CVSS-3.1-Score von 8.1 bewertet (Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) — netzwerkbasiert, niedrige Komplexität, ohne Privilegien, jedoch mit erforderlicher Benutzerinteraktion (Klicken eines Links, Öffnen einer präparierten Nachricht oder Aufruf einer vom Angreifer kontrollierten Seite). Vertraulichkeit und Integrität sind High, Verfügbarkeit ist None — konsistent mit einer XSS, die vollständige Übernahme der Exchange-Sitzung erlaubt: Mailbox-Inhalte, archivierte Nachrichten, Kontakte und alle per Mail geteilten internen Dokumente sind exponiert (Vertraulichkeit), und der Angreifer kann im Namen des Opfers Nachrichten senden, Mail-Regeln modifizieren, Weiterleitungen einrichten oder Profileinstellungen ändern (Integrität). Da Exchange in den meisten Microsoft-Umgebungen der zentrale Mail- und Identity-Hub ist, ist ein erfolgreicher Spoofing-Payload selten das Endziel — er ist die erste Stufe für Business-Email-Compromise, interne Phishing-Wellen mit vertrauenswürdiger Absenderherkunft und Credential-Harvesting, das in Microsoft 365, Entra ID und On-Premises Active Directory pivotiert. Der EPSS-Score von 0.123 (93,96. Perzentil) zusammen mit der KEV-Listung signalisiert, dass aktive Kampagnen diese XSS bereits ausnutzen.
Exploit-Reifegrad
Aktive Ausnutzung: CISA hat CVE-2026-42897 am 15. Mai 2026 in den KEV-Katalog aufgenommen, mit einer Patch-Frist 29. Mai 2026 für US-Bundesbehörden — eine Listung, die beobachtete Ausnutzung gegen ungepatchte Exchange-Server-Deployments bestätigt. Hersteller-Advisory: Das Microsoft Security Response Center hat Patch- und Mitigationshinweise im MSRC Update Guide für CVE-2026-42897 veröffentlicht; Microsoft empfiehlt zusätzlich, den Exchange Emergency Mitigation Service dauerhaft zu aktivieren, um schnelle Interim-Mitigationen zu erhalten. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 0.123 (93,96. Perzentil) ordnet CVE-2026-42897 in die obersten 7 Prozent aller getrackten CVEs ein — hoch für eine XSS und Ausdruck von Exchanges Wert als vor-authentifizierte Angriffsfläche im Unternehmensperimeter. Praktisches Risiko: Historische Exchange-XSS-Ketten (insbesondere die ProxyLogon-Ära) wurden innerhalb weniger Tage nach Offenlegung als Initial-Access-Vektor für Ransomware- und Nationalstaaten-Intrusionen weaponisiert; jeder ungepatchte Exchange 2016 oder 2019 sollte daher als unmittelbar bedrohtes Ziel behandelt werden.
Behebung
- Das Exchange-Sicherheitsupdate vom Mai 2026 installieren. Folgen Sie der Patch-Matrix im MSRC-Advisory für CVE-2026-42897 und installieren Sie das passende Cumulative Update für Ihren Exchange Server 2016 oder 2019. Verifizieren Sie nach dem Patch mit
Get-ExchangeServer | Format-List Name, AdminDisplayVersionund Microsofts HealthChecker-Skript. - Exchange Emergency Mitigation Service aktivieren. Stellen Sie sicher, dass der Exchange Emergency Mitigation Service (EM-Service) läuft und erreichbar ist; Microsoft nutzt ihn, um bei schnell ausgenutzten Exchange-Issues vor dem vollständigen Patch-Zyklus URL-Rewrite- und Request-Blocking-Regeln zu pushen.
- Auf Spoofing-Stage-Indikatoren jagen. Sichten Sie IIS-Request-Logs auf Exchange-Servern (
%SystemDrive%\inetpub\logs\LogFiles\W3SVC*) nach OWA-, ECP- und EWS-Requests mit Skript-Payloads (<script,onerror=,javascript:), ungewöhnlichenReferer-Headern und Massenversand-Mustern von internen Mailboxen. Prüfen Sie Exchange-Transport- und Inbox-Regeln auf unerwartete Forwarding-Einträge, versteckte Regeln und kürzlich angelegte Service-Mailboxen. - Exchange-Web-Exposition einschränken. Platzieren Sie OWA, ECP und EWS hinter einem Reverse-Proxy oder einer Web Application Firewall mit aktivierter XSS-Schutzfunktion, beschränken Sie ECP (Admin-Endpunkt) auf Management-Netzwerke und erzwingen Sie Conditional Access / MFA für alle interaktiven Exchange-Logins.
- Langfristige CWE-79-Mitigationsprinzipien auf abhängige Anwendungen anwenden. Setzen Sie eine strikte Content-Security-Policy (
default-src 'self'; script-src 'self'mit Nonces) auf intern gehosteten Exchange-nahen Webanwendungen, um den Blast-Radius künftiger Exchange-XSS einzuschränken, und abonnieren Sie MSRC- und CISA-Benachrichtigungen, damit künftige Exchange-CVEs innerhalb der BOD-22-01-Zeitlinie behoben werden.
Technische Details
CVE-2026-42897 ist eine CWE-79-Cross-Site-Scripting-Schwachstelle in der Webseitengenerierungs-Logik von Microsoft Exchange Server 2016 und 2019. Die verwundbare Komponente liest vom Angreifer beeinflusste Eingaben aus einem HTTP-Request — typischerweise ein URL-Parameter, ein Header-Wert oder ein Mail-Rendering-Feld in Outlook on the Web oder einem Exchange-Management-Endpunkt — und schreibt den Wert in das Response-HTML, ohne kontextgerechte Codierung anzuwenden (HTML-Entity-Codierung für Body-Inhalte, JavaScript-String-Codierung für Inline-<script>-Kontexte oder URL-Codierung für Attribut-Kontexte). Wenn ein Opfer die resultierende Seite aufruft, läuft der vom Angreifer gelieferte Skript-Body im vertrauenswürdigen Exchange-Origin und übernimmt Session-Cookies, OAuth-Tokens und Anti-Forgery-State des Opfers — genug, um beliebige Exchange Web Services oder REST-API-Aufrufe im Namen des Opfers anzustoßen. Der CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N erfasst die operative Form präzise: Ein unauthentifizierter Angreifer im Netzwerk kann die Schwachstelle mit niedriger Komplexität triggern, benötigt aber eine Benutzeraktion (Öffnen der präparierten Nachricht, Klick auf den präparierten Link oder Aufruf der bösartigen Seite), bevor das Skript ausgeführt wird. Das Cumulative Update vom Mai 2026 behebt den Bug durch Ergänzung der fehlenden Output-Codierung im betroffenen Response-Pfad; der Exchange Emergency Mitigation Service kann zusätzlich Interim-URL-Rewrite-Regeln ausspielen, die die gefährlichen Parameter vor dem vollständigen Patchen entschärfen.
Häufig gestellte Fragen
Wird CVE-2026-42897 aktiv ausgenutzt?
Ja. CISA hat CVE-2026-42897 am 15. Mai 2026 mit Patch-Frist 29. Mai 2026 in den KEV-Katalog aufgenommen — dies erfolgt nur bei Schwachstellen mit beobachteter Ausnutzung. Der EPSS-Score von 0.123 (93,96. Perzentil) ordnet die CVE in die obersten 7 Prozent aller CVEs nach Ausnutzungswahrscheinlichkeit ein.
Welche Produkte sind von CVE-2026-42897 betroffen?
Microsoft Exchange Server 2016 und Microsoft Exchange Server 2019 sind betroffen, ebenso die im NVD-Datensatz referenzierte unmarkierte Exchange-Server-Linie. Konsultieren Sie das Microsoft-MSRC-Advisory für die exakten gepatchten Cumulative-Update-Levels.
Wie behebe ich CVE-2026-42897?
Installieren Sie das Microsoft-Exchange-Sicherheitsupdate vom Mai 2026, aktivieren Sie den Exchange Emergency Mitigation Service für Interim-Mitigationen, jagen Sie in IIS- und Exchange-Transport-Logs nach Spoofing-Stage-Indikatoren, schränken Sie OWA-/ECP-Exposition hinter WAF und Conditional Access ein und erzwingen Sie MFA für alle Exchange-Logins.
Wie schwerwiegend ist CVE-2026-42897?
CVE-2026-42897 ist mit HIGH und CVSS-3.1-Score 8.1 bewertet, mit High-Wirkung auf Vertraulichkeit und Integrität. Die Schwere wird verstärkt durch die fehlende Authentifizierungs-Voraussetzung, Exchanges zentrale Rolle in der Unternehmens-Identity, die KEV-Listung und die EPSS-Wahrscheinlichkeit (93,96. Perzentil) — jeder ungepatchte Exchange 2016 oder 2019 sollte als kritisch priorisiert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.