Microsoft Exchange Server: Denial of Service durch ineffizienten Algorithmus

Zusammenfassung

Microsoft Exchange Server Subscription Edition RTM (x64) Builds vor 15.02.2562.057 enthalten eine ineffiziente algorithmische Komplexität (CWE-407). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann Serverressourcen erschöpfen und einen Denial of Service auslösen. Der Angreifer kann keine E-Mails lesen oder verändern, Mail- und Kalenderdienste können jedoch ausfallen, und das Risiko ist am höchsten, wenn OWA, ActiveSync oder EWS aus dem Internet erreichbar sind.

Betroffen

• Microsoft Exchange Server Subscription Edition RTM (x64): Builds ab 15.02.0.0 vor 15.02.2562.057
• Andere Exchange-Versionen (zum Beispiel 2016 oder 2019) und reine Hybrid-Konfigurationen: Unbekannt. Produktliste im MSRC-Advisory prüfen.

Behoben in

• Exchange Server Subscription Edition RTM auf Build 15.02.2562.057 oder neuer aktualisieren.
• Die Korrektur ist Teil des Microsoft-Sicherheitsupdates vom 10. November 2026 (KB5133453). Der Name des kumulativen Updates unterscheidet sich zwischen den Quellen (SU11 oder SU12); er ist im Microsoft-Advisory zu verifizieren.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme identifiziert; das Einspielen des Updates ist die einzige identifizierte Behebung.

Ausnutzung

• Microsoft gibt an, dass kein öffentlich verfügbarer Exploit-Code existiert oder ein Exploit nur theoretisch ist.
• Rapid7 stuft die Schwachstelle als 'Exploitation Less Likely' ein und sie ist nicht öffentlich bekannt.
• CISA-SSVC-Status der Ausnutzung: none. Strix führt die Schwachstelle nicht im KEV-Katalog; dies wurde nicht am CISA-KEV-Katalog verifiziert.
• Es ist kein öffentlicher Proof-of-Concept bekannt.

Unsere Empfehlung

• Prüfen, ob Server mit Exchange Server Subscription Edition RTM vor Build 15.02.2562.057 betrieben werden.
• Das Sicherheitsupdate vom November 2026 (KB5133453) oder das neueste kumulative Update im regulären monatlichen Zyklus installieren; bei aus dem Internet erreichbaren Servern früher patchen.
• Im MSRC-Advisory die Angaben zu anderen Exchange-Versionen und allfälligen Massnahmen prüfen.
• Verfügbarkeit und Ressourcenauslastung der Mail-Dienste überwachen und eine Ersatzlösung für E-Mail und Kalender vorhalten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft MSRC Security Update Guide: CVE-2026-118153 msrc.microsoft.com
• CVE Record CVE-2026-118153 www.cve.org
• Icewolf: Exchange Server SE security update November 2026 blog.icewolf.ch
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix: CVE-2026-118153 www.strix.ai
• OffSeq Radar: Exchange Server vulnerabilities fixed radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:36.