Microsoft Exchange Server: Lokale Rechteausweitung

Zusammenfassung

Microsoft Exchange Server (lokal betrieben) enthält eine Schwachstelle durch Einbindung von Funktionalität aus einer nicht vertrauenswürdigen Kontrollsphäre (CWE-829), die einem berechtigten lokalen Angreifer eine Rechteausweitung erlaubt. Der CVSS-3.1-Basiswert beträgt 7.8 (hoch). Für die Ausnutzung ist ein bestehender Zugriff mit niedrigen Rechten auf den Exchange-Server nötig, zum Beispiel über ein kompromittiertes Konto, und es ist keine Benutzerinteraktion erforderlich. Ein erfolgreicher Angreifer kann die volle Kontrolle über den Server und seine Postfächer erlangen, daher erhöht die Schwachstelle vor allem die Auswirkungen einer anderen Kompromittierung auf dem Host.

Betroffen

• Exchange Server 2016 CU23: 15.01.0.0 bis vor 15.01.2507.077
• Exchange Server 2019 CU14: 15.02.0.0 bis vor 15.02.1544.050
• Exchange Server 2019 CU15: 15.02.0.0 bis vor 15.02.1748.055
• Exchange Server Subscription Edition RTM: 15.02.0.0 bis vor 15.02.2562.056

Die Build-Bereiche stammen aus dem CVE-Eintrag und von Drittanbieter-Trackern; sie sind im MSRC-Advisory zu überprüfen.

Behoben in

• Exchange Server 2016 CU23: Behobener Build 15.01.2507.077 oder neuer; KB-Nummer unbekannt.
• Exchange Server 2019 CU14: KB5128897
• Exchange Server 2019 CU15: KB5128896 (Build 15.02.1748.055)
• Exchange Server Subscription Edition RTM: KB5128895 (SU11); behobener Build 15.02.2562.056 laut CVE-Eintrag, nicht unabhängig bestätigt.

Alle Korrekturen wurden am 13. Oktober 2026 veröffentlicht.

Umgehung

Für diese CVE ist keine Umgehungslösung dokumentiert. Die Installation des Sicherheitsupdates vom Oktober 2026 ist die einzige dokumentierte Korrektur.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt.
• Nicht im Known-Exploited-Vulnerabilities-Katalog der CISA aufgeführt.
• Die SSVC-Bewertung der CISA stuft die Ausnutzung als none und die Automatisierbarkeit als no ein.
• Die von Senserva gemeldeten EPSS-Werte liegen unter 1% bis 1,6%; diese Angaben sind widersprüchlich und nur ungefähr.
• Es wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Das Sicherheitsupdate vom 13. Oktober 2026 auf allen betroffenen Exchange-Servern installieren, zuerst auf Systemen mit Internetzugang.
• Exchange Server 2016 und 2019 haben ihre letzten Sicherheitsupdates erhalten und sind nur noch über das Programm Extended Security Update (ESU) Period 2 abgedeckt; eine Migration auf Exchange Server Subscription Edition planen.
• Installierte Build-Nummern und betroffene Bereiche vor dem Rollout im MSRC-Advisory überprüfen.
• Lokale Administratorkonten prüfen und Admin-Passwörter verstärken, da ein Zugriff mit niedrigen Rechten nötig ist.
• Auf Exchange-Servern auf ungewöhnliche lokale Rechteänderungen sowie neue Dienste oder geplante Aufgaben achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-87695 msrc.microsoft.com
• OpenCVE entry CVE-2026-87695 app.opencve.io
• Senserva KB5128895 (Subscription Edition SU11) senserva.com
• Senserva KB5128897 (Exchange 2019 CU14) senserva.com
• UGetFix KB5128896 (Exchange 2019 CU15, third-party) ugetfix.com
• Eightwone: Exchange 2016 and SE security updates October 2026 eightwone.com
• FrankysWeb: Security updates for Exchange Server October 2026 www.frankysweb.de
• Icewolf: Exchange Server SE SU11 released blog.icewolf.ch

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:36.