K-iS Security Advisory 2026-012 – Exchange mit 6 neuen Sicherheitslücken

Microsoft hat diesen Monat 6 neue Sicherheitslücken für Microsoft Exchange bekannt gegeben, von denen die CVE-2026-70571 und CVE-2026-70279 besonders gefährlich sind. Beide Lücken erlauben einen externen Angriff mit oder auch ohne Benutzerinteraktion.

Eine Zusammenfassung der problematischsten Schwachstellen diesen Monat:

CVE-2026-70571: Ein externer Angreifer kann eine speziell präparierte E-Mail versenden. Diese löst einen internen Prozess zur Inhaltskonvertierung aus. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, Code auf dem Server auszuführen. Es ist keine Nutzerinteraktion notwendig.

CVE-2026-70279: Ein Angreifer könnte einen speziell gestalteten Link an einen Benutzer senden und ihn zum Klicken verleiten, wobei keine Authentifizierung erforderlich ist. Wenn ein Benutzer mit administrativen Berechtigungen auf den Link klickt, könnte eine erfolgreiche Ausnutzung dem Angreifer ermöglichen, Aktionen mit Administrator-Berechtigungen durchzuführen, was den Zugriff auf oder die Änderung von Organisationsdaten ermöglichen kann. Dies gilt auch für normale User mit lokalen Administrator-Berechtigungen, mit denen z. B. ein Remotezugriff installiert werden kann, um weitere Angriffe zu ermöglichen.

Diese sowie die anderen vier Schwachstellen können auf der Microsoft-Website nachgelesen werden.

Folgende (noch von Microsoft unterstützte) Produkte sind betroffen:

• Microsoft Exchange SE
• Microsoft Exchange Server 2019 (Patches nur per ESU v2 verfügbar)
• Microsoft Exchange Server 2016 (Patches nur per ESU v2 verfügbar)

Handlungsempfehlung:
Es sollte zeitnah das Oktober-2026-Sicherheitsupdate auf dem Exchange-Server installiert werden. Dies kann bei Exchange SE über Windows Updates oder manuell erfolgen. Bei älteren Versionen von Exchange ist eine Mitgliedschaft in der zweiten Verlängerung des Extended Security Update-Programms notwendig. Diesen Monat läuft das Programm aus, es werden keine weiteren Sicherheitsupdates folgen. Hier ist unsere Empfehlung, On-Premises auf Exchange SE oder auf eine andere Mail-Plattform wie Exchange Online zu wechseln.

Gerne unterstützen wir Sie bei der Prüfung Ihrer Systeme und der Umsetzung der entsprechenden Maßnahmen. Melden Sie sich dazu bitte bei unserem Support und vereinbaren Sie einen zeitnahen Termin.

Zentraler Support der K-iS Systemhaus Unternehmensgruppe:
support@k-is.com | +49 271 31370-30 (D-Siegen) | +49 6761 9321-55 (D-Simmern)
+49 7681 474098-8 (D-Südbaden) | +41-55-536-1020 (Schweiz)
+43 662 202299-8 (Österreich)