Microsoft Exchange Server: Rechteerweiterung durch falsche Autorisierung
Zusammenfassung
Ein berechtigter Benutzer mit eingeschränkten Rechten kann auf lokal betriebenen Microsoft Exchange Servern über das Netzwerk seine Privilegien erweitern, weil die Autorisierung fehlerhaft ist (CWE-863). Laut nicht unabhängig bestätigten Sekundärquellen kann der Angreifer einen gemeinsam genutzten Cache des Exchange Control Panels manipulieren und ein schädliches Mail-Add-in in das Postfach eines anderen Benutzers installieren. Der Angriff benötigt ein gültiges Konto, aber keine Benutzerinteraktion; der CVSS-Wert beträgt 8.8 (hoch).
Betroffen
- Exchange Server 2016 CU23: 15.01.0.0 bis vor 15.01.2507.077
- Exchange Server 2019 CU14: 15.02.0.0 bis vor 15.02.1544.050
- Exchange Server 2019 CU15: 15.02.0.0 bis vor 15.02.1748.055
- Exchange Server Subscription Edition RTM: 15.02.0.0 bis vor 15.02.2562.056
Behoben in
- Exchange Server Subscription Edition SU11 (KB5128895)
- Exchange Server 2019 CU14 (KB5128897)
- Exchange Server 2019 CU15 (KB5128896)
- Exchange Server 2016 CU23 (KB5128898)
- Von Drittanbietern genannte Build-Nummern sollten vor einer Verwendung auf den KB-Seiten überprüft werden.
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog aufgeführt. Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 zeitnah installieren; für Exchange 2016 und 2019 die Extended Security Updates (ESU) einspielen, sofern zutreffend.
- Vorab testen, da nach dem Update über Probleme bei der OWA-Anmeldung oder beim Senden von E-Mails berichtet wurde.
- Prüfen, ob OWA und ECP aus dem Internet erreichbar sind, und den Zugriff einschränken, falls er nicht benötigt wird.
- Multi-Faktor-Authentifizierung erzwingen und Konten auf ungewöhnliche Postfach- oder Add-in-Änderungen prüfen.
- Migration weg von Exchange 2016 und 2019 planen, da über ESU hinaus keine weiteren Sicherheitsupdates vorgesehen sind.
- Kunden von Exchange Online benötigen keine Massnahmen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Rechteausweitung – Microsoft Exchange Server
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows ESU (erweiterte Sicherheitsupdates), Serversoftware (Exchange, SharePoint …)
- Updates (KB)
- KB5128895, KB5128896, KB5128897, KB5128898
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-77910 msrc.microsoft.com
- Senserva KB5128895 (Subscription Edition SU11) senserva.com
- Senserva KB5128898 (Exchange 2016 CU23) senserva.com
- eightwone: Security updates Exchange October 2026 eightwone.com
- Messageware: Exchange Server security updates October 2026 www.messageware.com
- Franky's Web: Security updates for Exchange Server October 2026 www.frankysweb.de
- OpenCVE: CVE-2026-77910 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:40.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.