Microsoft Exchange Server: Remote Code Execution durch unzureichende Eingabevalidierung

Zusammenfassung

Eine unzureichende Eingabevalidierung in Microsoft Exchange Server erlaubt einem authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor setzt niedrige Privilegien und keine Benutzerinteraktion voraus, weshalb möglicherweise bereits ein gültiges Konto auf dem Server genügt. Microsoft listet nur Exchange Server Subscription Edition RTM als betroffen, und die CVE ist bei NVD noch nicht analysiert.

Betroffen

• Microsoft Exchange Server Subscription Edition RTM (x64): 15.02.0.0 vor 15.02.2562.057
• Exchange 2019 und Exchange 2016: Unbekannt. Die MSRC-Produktliste prüfen.

Behoben in

• Subscription Edition RTM: Build 15.02.2562.057 oder neuer (abgeleitet aus dem betroffenen Bereich)
• Name des Sicherheitsupdates: Unbekannt. Ein Drittanbieter-Tracker nennt KB5133453, dies ist jedoch nicht verifiziert.

Umgehung

Unbekannt. In den verfügbaren Quellen ist keine Massnahme dokumentiert. Das Sicherheitsupdate einspielen.

Ausnutzung

• Microsoft stuft die CVE als nicht ausgenutzt ein.
• Die Ausnutzbarkeitsbewertung von Microsoft lautet "Exploitation More Likely" (Tenable).
• Laut einem Drittanbieter-Eintrag (Strix) ist die CVE nicht im CISA-KEV-Katalog gelistet.
• Es wurde kein öffentlicher Proof of Concept gefunden, was jedoch nicht beweist, dass keiner existiert.
• Nicht zu verwechseln mit der aktiv ausgenutzten Outlook-Zero-Day-Lücke CVE-2026-124194 aus demselben Patch Tuesday.

Unsere Empfehlung

• Den Exchange-Build mit 15.02.2562.057 abgleichen und das Sicherheitsupdate vom November 2026 einspielen.
• Aus ddem Internet erreichbare Exchange-Server priorisieren.
• Konten mit Zugriff auf den Server überprüfen und wo möglich Multi-Faktor-Authentifizierung erzwingen.
• Den Status älterer Exchange-Versionen bei MSRC prüfen, statt von einer fehlenden Betroffenheit auszugehen.
• Auf einen öffentlichen Proof of Concept oder einen KEV-Eintrag achten, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118207 www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Strix CVE record CVE-2026-118207 www.strix.ai
• Shadowserver vulnerable Exchange server report www.shadowserver.org
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Trinetriops: November 2026 Patch Tuesday (unverified KB mapping) trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:26.