Microsoft Exchange Server: Cross-Site Scripting ermöglicht Spoofing

Zusammenfassung

Microsoft Exchange Server On-Premises enthält eine Schwachstelle vom Typ Cross-Site Scripting (XSS, CWE-79), die das Spoofing von Exchange-Webseiten ermöglicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann sie ausnutzen, dafür muss aber ein Opfer aktiv werden, etwa indem es einen präparierten Link anklickt; der CVSS-Score beträgt 9.3 (kritisch) mit geändertem Scope sowie hohen Auswirkungen auf Vertraulichkeit und Integrität. Gemäss Microsoft-Beschreibung besteht die Auswirkung im Spoofing und nicht in der Ausführung von Code. Die Analyse durch die NVD stand zum Zeitpunkt der Veröffentlichung noch aus.

Betroffen

• Exchange Server 2016 CU23: 15.01.0.0 bis vor 15.01.2507.077
• Exchange Server 2019 CU14: 15.02.0.0 bis vor 15.02.1544.050
• Exchange Server 2019 CU15: 15.02.0.0 bis vor 15.02.1748.055
• Exchange Server Subscription Edition RTM: 15.02.0.0 bis vor 15.02.2562.056
• Versionsbereiche stammen aus dem CVE-Eintrag und einem Drittanbieter-Aggregator; Abgleich mit MSRC erforderlich.

Behoben in

• Sicherheitsupdates vom Oktober 2026 für die betroffenen Builds (gemäss Sekundärquellen, noch nicht gegen MSRC verifiziert):
• Subscription Edition RTM: KB5128895
• Exchange Server 2019 CU15: KB5128896
• Exchange Server 2019 CU14: KB5128897
• Exchange Server 2016 CU23: KB5128898 (letztes Update für 2016 und 2019 im Rahmen von ESU Period 2)

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden; das Einspielen des Patches ist die einzige dokumentierte Massnahme.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung in freier Wildbahn; CISA SSVC führt Exploitation als none und Automatable als no.
• Kein öffentlicher Proof-of-Concept bekannt.
• Ein Artikel meldet 'Exploitation More Likely'; dies ist eine Vorhersage von Microsoft und keine beobachtete Ausnutzung.

Unsere Empfehlung

• Prüfen, ob Exchange aus dem Internet erreichbar ist (z. B. OWA), und die Patches entsprechend priorisieren.
• Exchange-Build anhand der obigen KB-Tabelle prüfen und das Sicherheitsupdate vom Oktober 2026 für die eigene Version einspielen.
• Vor dem Patchen die Warnung zu den Windows-Server-Updates vom Oktober 2026 beachten, da diese den On-Premises-Exchange-Betrieb destabilisieren können.
• Exchange 2016 und 2019 erhalten nach Oktober 2026 keine weiteren Fixes; Migration auf Subscription Edition planen.
• Die übrigen Exchange-CVEs desselben Release zusammen mit dieser Schwachstelle patchen.
• Auf Anzeichen einer Ausnutzung überwachen und MSRC auf Mitigationen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-70279 msrc.microsoft.com
• Microsoft Exchange Team: October 2026 Exchange Server security updates techcommunity.microsoft.com
• OpenCVE: CVE-2026-70279 app.opencve.io
• Tenable plugin 365663 www.tenable.com
• Senserva KB 5128895 senserva.com
• Feedly: CVE-2026-70279 feedly.com
• Windows Forum: Exchange October 2026 updates windowsforum.com
• TechCertGuide: Windows Server updates and Exchange techcertguide.blog

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:16.