Microsoft Exchange Server: Berechtigungserweiterung durch Deserialisierung

Zusammenfassung

Eine Deserialisierung nicht vertrauenswürdiger Daten in der lokal betriebenen Microsoft Exchange Server erlaubt einem Angreifer mit einem lokalen Konto mit niedrigen Rechten auf dem Server, seine Berechtigungen zu erweitern. Der CVSS-Basiswert beträgt 7.8 (Hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es handelt sich um eine Erweiterung nach einer Kompromittierung, die aus der Ferne allein nicht ausnutzbar ist, doch ein SYSTEM-Zugriff auf einen Mailserver gefährdet Postfächer, Zugangsdaten und das Active-Directory-Vertrauensverhältnis.

Betroffen

• Exchange Server 2016 CU23: 15.01.0.0 bis vor 15.01.2507.077
• Exchange Server 2019 CU14: 15.02.0.0 bis vor 15.02.1544.050
• Exchange Server Subscription Edition RTM: 15.02.0.0 bis vor 15.02.2562.056
• Exchange Server 2019 CU15: unklar, Quellen widersprechen sich; in der MSRC-Tabelle der betroffenen Produkte prüfen
• Exchange Online: nicht betroffen (lokale Schwachstelle)

Behoben in

• Exchange Server Subscription Edition: Build 15.2.2562.56, KB5128895 (Daten von Drittquellen)
• Exchange Server 2019 CU14: Build 15.2.1544.50, KB5128897 (Daten von Drittquellen)
• Exchange Server 2016 CU23: Build 15.1.2507.77, KB5128898 (Daten von Drittquellen)
• Exchange Server 2019 CU15: Build 15.2.1748.55, KB5128896 (Daten von Drittquellen)
• Korrekturen für Exchange 2016 und 2019 sind nur mit Einschreibung in das Extended Security Update Period 2 (ESU2)-Programm verfügbar. Es handelt sich um die letzten Sicherheitsupdates für 2016 und 2019.
• Die Build-Nummern stammen von Drittquellen; vor der Verteilung auf den Microsoft-KB-Seiten bestätigen.

Umgehung

Keine dokumentiert. Das Einspielen der Patches ist die Massnahme.

Ausnutzung

• In freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC (ADP): Exploitation none, Automatable no, Technical Impact total.
• EPSS: etwa 1.6 bis 1.7 Prozent (Daten von Drittquellen).
• CISA KEV: nicht direkt geprüft; ein Drittanbieter-Spiegel führt sie als nicht enthalten.

Unsere Empfehlung

• Alle lokal betriebenen Exchange-Server und deren genaue Build-Nummern erfassen.
• Die korrigierten Builds für Subscription Edition und unterstützte 2019-CUs im regulären Patch-Zyklus installieren, nachdem die gemeldeten OWA-Anmelde- und Mailversand-Probleme nach den Windows-Updates vom Oktober geprüft wurden.
• Exchange 2016 und 2019 ohne ESU2 als ungepatcht behandeln: Migration oder ESU2-Einschreibung planen.
• Lokale Anmeldung einschränken und begrenzen, wer auf Exchange-Servern Befehle ausführen darf.
• Exchange-Server auf ungewöhnliche lokale Prozesse und Berechtigungsänderungen überwachen.
• Den Status von 2019 CU15 und die korrigierten Builds im MSRC-Advisory und auf den KB-Seiten verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-87692 msrc.microsoft.com
• OpenCVE: CVE-2026-87692 app.opencve.io
• Eightwone: Security updates for Exchange 2016 and SE, October 2026 eightwone.com
• Franky's Web: New security updates for Exchange Server, October 2026 www.frankysweb.de
• Messageware: Exchange Server security updates for October 2026 www.messageware.com
• Senserva: KB5128897 (Exchange 2019 CU14) senserva.com
• Senserva: KB5128895 (Exchange SE) senserva.com
• OffSeq Radar: CVE-2026-87692 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:41.