Microsoft Exchange Server SE: Cross-Site Request Forgery führt zu Spoofing

Zusammenfassung

Eine Cross-Site Request Forgery (CSRF, CWE-352) in Microsoft Exchange Server Subscription Edition (SE) erlaubt einem nicht autorisierten Angreifer über das Netzwerk Spoofing. Für die Ausnutzung muss ein Benutzer verleitet werden, eine Aktion auszuführen, etwa indem er einen präparierten Link anklickt, während er bei OWA angemeldet ist. Gemäss CVSS-Vektor hat die Vertraulichkeit keine und die Integrität eine hohe Auswirkung. Öffentliche Ausnutzung oder ein Proof of Concept ist nicht bekannt.

Betroffen

• Exchange Server Subscription Edition RTM, Versionen 15.02.0.0 bis unter 15.02.2562.057 (gemäss CNA-Eintrag)
• Exchange 2016 und 2019: Betroffenheit nicht bestätigt; für diese Versionen gibt es keine Sicherheitsupdates mehr

Behoben in

• Exchange Server SE RTM: Sicherheitsupdate SU12 (KB5133453), Build 15.2.2562.57, veröffentlicht am 10. November 2026
• Die Windows-Server-Updates vom November 2026 im selben Zeitfenster installieren, da das Exchange-SU allein eine Instabilität durch Windows-Updates vom Oktober 2026 nicht behebt

Umgehung

Unbekannt.

Ausnutzung

• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird
• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein; die Schwachstelle ist nicht öffentlich bekannt
• Kein öffentlicher Proof of Concept gefunden
• Laut einem Drittanbieter-Spiegel nicht im CISA-KEV-Katalog; direkt im KEV-Katalog der CISA prüfen

Unsere Empfehlung

• Exchange Server SE auf SU12 (KB5133453) patchen und die Windows-Server-Updates vom November 2026 im selben Wartungsfenster installieren
• Prüfen, ob OWA, ECP und EWS aus dem Internet erreichbar sind, und die Exposition wo möglich einschränken
• Exchange-2016- und 2019-Server migrieren, da diese keine Sicherheitspatches mehr erhalten
• Die Windows-Search-Lücke CVE-2026-116928 aus demselben Patch-Zyklus mit höherer Priorität behandeln
• Den NVD-Eintrag und den CISA-KEV-Katalog nach Veröffentlichung der Analyse erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118152 msrc.microsoft.com
• Microsoft Support: KB5133453 Exchange Server SE SU12 support.microsoft.com
• Microsoft Tech Community: November 2026 Exchange Server security updates techcommunity.microsoft.com
• Exchange servers may become unstable after October 2026 Windows updates techcommunity.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix: CVE-2026-118152 (third-party mirror) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:13.