Microsoft Exchange CVE-2026-42897: OWA-XSS-Zero-Day aktiv ausgenutzt – kein dauerhafter Patch bis Juni Patchday

Microsoft hat am 14. Mai 2026 eine aktiv ausgenutzte Zero-Day-Schwachstelle in Exchange Server Outlook Web Access (OWA) offengelegt. Die als CVE-2026-42897 erfasste Lücke erhält von Microsoft einen CVSS-Score von 8.1 (kritisch), während das NVD die Schwere mit 6.1 (mittel) bewertet. Ein Cross-Site-Scripting-Fehler ermöglicht es Angreifern, durch eine speziell präparierte E-Mail beliebiges JavaScript im authentifizierten Browser-Kontext des Opfers auszuführen – ganz ohne direkten Zugriff auf den Exchange-Server. Betroffen sind ausschließlich On-Premises-Installationen; Exchange Online und Microsoft 365 sind nicht gefährdet. Ein dauerhafter Patch steht frühestens zum Juni Patch Tuesday am 9. Juni 2026 bereit.

Die Schwachstelle: XSS in OWA ermöglicht Session-Diebstahl

Der Angriffsvektor ist denkbar einfach: Eine speziell präparierte E-Mail genügt. Öffnet ein Benutzer diese Nachricht in OWA, wird eingebettetes JavaScript im vollständig authentifizierten Browser-Kontext ausgeführt. Damit können Angreifer Session-Tokens stehlen, Postfächer kompromittieren und E-Mail-Regeln im Namen des Opfers manipulieren – alles ohne jemals direkten Zugriff auf den Exchange-Server selbst zu benötigen.

Microsoft hat am 15. Mai 2026 bestätigt, dass die Schwachstelle bereits aktiv in der Wildnis ausgenutzt wird. Spezifische Angreifergruppen wurden öffentlich nicht benannt. Bis zum Erscheinen eines dauerhaften Patches existiert lediglich eine temporäre Mitigation über den Exchange Emergency Mitigation Service (EMS).

Bin ich betroffen?

Betroffen sind folgende Microsoft Exchange Server-Versionen mit aktivem Outlook Web Access:

Administratoren können den Status des Exchange Emergency Mitigation Service auf ihrem Server mit folgendem PowerShell-Befehl prüfen:

Get-ExchangeDiagnosticInfo -Server <Servername> -Process EdgeTransport -Component ResourceThrottling -Info

Konkret ist zu prüfen, ob der EMS-Dienst läuft und ob die aktuelle Mitigation eingespielt wurde. Eine Anleitung zur grundlegenden Windows-Server-Updateverwaltung bietet die s-edv.com-Anleitung zu Windows Updates, WSUS und Update for Business.

Wie behebe ich das?

Bis ein dauerhafter Patch verfügbar ist, empfehlen sich folgende Maßnahmen in dieser Priorität:

1. Exchange Emergency Mitigation Service (EMS) aktivieren und aktualisieren: Der EMS ist standardmäßig in aktuellen Exchange-Installationen aktiv und liefert automatisch temporäre Mitigations von Microsoft. Administratoren sollten sicherstellen, dass der Dienst läuft und Verbindung zu den Microsoft-Servern hat.
2. OWA-Zugang auf vertrauenswürdige Quell-IPs einschränken: Help Net Security und das Heise-Sicherheitsumfeld empfehlen, den OWA-Zugang per Firewall oder Reverse Proxy auf bekannte, vertrauenswürdige IP-Bereiche zu limitieren. Damit wird die Angriffsfläche deutlich reduziert, da externe Angreifer keine präparierten E-Mails über OWA öffnen können.
3. Permanenten Patch einspielen: Sobald der Juni 2026 Patch Tuesday (9. Juni 2026) den offiziellen Sicherheitspatch liefert, ist dieser umgehend einzuspielen.

Wer den OWA-Zugang über einen Reverse Proxy absichert, findet in der Anleitung zu Nginx als Reverse Proxy mit TLS einrichten eine solide Grundlage für die vorgelagerte Absicherung.

Was bedeutet das für Unternehmen?

On-Premises Exchange ist im DACH-Raum noch weit verbreitet, insbesondere in mittelständischen Unternehmen und Behörden, die den Umstieg auf Exchange Online noch nicht vollzogen haben. Genau diese Umgebungen stehen jetzt unter erhöhtem Druck.

Die Gefährdungslage ist ernst: Ein kompromittiertes OWA-Konto gibt Angreifern vollständigen Lesezugriff auf sämtliche E-Mails, ermöglicht die unauffällige Einrichtung von Weiterleitungsregeln und bildet die Basis für weitere Angriffe auf die Unternehmensinfrastruktur – etwa Business Email Compromise oder laterale Bewegung im internen Netzwerk. Da kein Serverzugriff nötig ist, hinterlässt die Attacke in vielen Fällen weniger Spuren als klassische Exploits.

Unternehmen mit aktiver Multi-Faktor-Authentifizierung für OWA sind nicht vollständig geschützt: Session-Token-Diebstahl greift nach der erfolgreichen MFA-Anmeldung, da das Token bereits ausgestellt ist. Die Einführung oder Überprüfung von MFA bleibt dennoch ein wichtiger Schicht-Schutz – und sollte mit strikter IP-Beschränkung des OWA-Zugangs kombiniert werden. Hinweise zur MFA-Einführung im Unternehmensumfeld bietet die Anleitung Zwei-Faktor-Authentifizierung und MFA im Unternehmen einführen.

Sicherheitsteams sollten zudem ihre SIEM- und Monitoring-Systeme auf ungewöhnliche OWA-Anmeldemuster und neu erstellte E-Mail-Weiterleitungsregeln überwachen, bis der Patch eingespielt ist.

Quellen

1. Security Affairs: CVE-2026-42897 – Microsoft confirms active exploitation of Exchange Server zero-day
2. SecurityWeek: Microsoft Warns of Exchange Server Zero-Day Exploited in the Wild
3. Dark Reading: Microsoft Exchange Zero-Day Under Attack, No Patch Available
4. Help Net Security: June 2026 Patch Tuesday forecast – Exchange CVE-2026-42897