Die Sicherheitslücke CVE-2026-42897 wird derzeit aktiv in lokalen Microsoft Exchange-Servern ausgenutzt. Dieser Fehler ermöglicht es einem Angreifer, das System zu kompromittieren, indem er lediglich eine bösartige E-Mail sendet. Das Schlimmste ist, dass keine Authentifizierung erforderlich ist, was jeden exponierten Server zu einem leichten Ziel für unbefugten Zugriff und möglichen Datendiebstahl macht.
Der technische Mechanismus hinter dem angriff ohne Anmeldedaten 🛡️
Der Fehler liegt in der Komponente zur Verarbeitung eingehender Nachrichten von Exchange. Bei der Verarbeitung einer E-Mail mit manipulierten Kopfzeilenfeldern validiert der Dienst die Eingabe nicht ordnungsgemäß, bevor er sie an die Befehlsausführungs-Engine übergibt. Dies ermöglicht das Einschleusen von beliebigem Code im Kontext des Systems. Da der Angriffsvektor eine einfache E-Mail ist, ist jeder Server mit offenem SMTP-Port ohne Benutzerinteraktion oder vorherige Berechtigungen angreifbar.
Die E-Mail, die ankommt, und der Server, der geht 😅
Es stellt sich heraus, dass der Posteingang nicht nur Spam von nigerianischen Erbschaften bringt, sondern jetzt auch ein RCE als Geschenk mitbringt. Angreifer haben entdeckt, dass das wahre Phishing nicht darin besteht, Ihr Passwort zu stehlen, sondern Ihren gesamten Server mit einem einfachen Hallo, ich bin der Chef zu stehlen. Und während Microsoft einen Patch vorbereitet, bleibt uns nur zu hoffen, dass der Angreifer guten Geschmack hat und die Bürofotos nicht löscht.