Microsoft Exchange Server: Rechteerweiterung durch Steuerung von Dateinamen oder Pfad

Zusammenfassung

Microsoft Exchange Server Subscription Edition RTM in den Versionen 15.02.0.0 bis vor 15.02.2562.057 enthält eine Schwachstelle zur Rechteerweiterung, die auf der externen Steuerung von Dateinamen oder Pfaden beruht (CWE-73). Ein Angreifer mit bereits hohen Berechtigungen im Netzwerk, zum Beispiel einem Exchange-Administratorkonto, kann damit zusätzliche Rechte erlangen. Dafür ist keine Benutzerinteraktion nötig. Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein, und es wurde kein öffentlicher Proof-of-Concept-Code gefunden.

Betroffen

• Microsoft Exchange Server Subscription Edition RTM, ab 15.02.0.0 bis vor 15.02.2562.057
• Exchange Server 2016 und 2019: Unbekannt, im CVE-Eintrag nicht aufgeführt

Behoben in

• Exchange Server Subscription Edition RTM: 15.02.2562.057 oder neuer (laut CVE-Eintrag; auf MSRC prüfen)
• Das Update KB5133453 soll am 10. November 2026 erschienen sein (Sekundärquelle, nicht verifiziert)
• Exchange Server 2016 und 2019: Unbekannt

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers gefunden; das Einspielen des Patches ist die empfohlene Massnahme.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Rapid7: Ausnutzung weniger wahrscheinlich, nicht öffentlich bekannt
• MSRC-Reifegrad des Exploit-Codes: nicht nachgewiesen (E:U)
• Kein öffentlicher Proof-of-Concept und keine Ausnutzung in freier Wildbahn gefunden; Status im CISA KEV nicht verifiziert

Unsere Empfehlung

• Exchange Server Subscription Edition RTM im November-2026-Update-Zyklus auf mindestens 15.02.2562.057 patchen, zuerst die aus dem Internet erreichbaren Server
• KB-Nummer und Fix-Builds vor dem Rollout auf der MSRC-Seite verifizieren
• Prüfen, ob Exchange Server 2016 oder 2019 betroffen sind, sobald MSRC den Status bestätigt
• Administrative Exchange-Rechte einschränken und Änderungen an privilegierten Gruppen auf Exchange-Servern überwachen
• MSRC, NVD und CISA KEV auf Änderungen beim Ausnutzungsstatus prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118151 msrc.microsoft.com
• CVE.org record: CVE-2026-118151 www.cve.org
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Icewolf blog: Exchange Server SE SU12 (secondary, KB) blog.icewolf.ch
• Strix: CVE-2026-118151 (aggregator) www.strix.ai
• CCB Belgium: Exchange Server privilege escalation advisory (product context) ccb.belgium.be

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:47.