CVE-2026-70279: XSS-Spoofing in Microsoft Exchange Server
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Microsoft hat am 13. Oktober 2026 die Schwachstelle CVE-2026-70279 für Microsoft Exchange Server veröffentlicht. Die Schwachstelle wird mit einem CVSS-Base-Score von 9,3 (Temporal: 8,1) bewertet. Microsoft stuft sie als Important ein und bewertet eine Ausnutzung als „Exploitation More Likely“.
CVE-2026-70279 betrifft die Verarbeitung von Eingaben bei der Erzeugung von Webseiten. Die zugrunde liegende Schwachstellenklasse ist CWE-79: Cross-Site Scripting. Der Angriff ist netzwerkbasiert und setzt eine Benutzerinteraktion voraus. Laut Microsoft MSRC können Angreifer ein Opfer über Social Engineering dazu verleiten, einen präparierten Link anzuklicken.
Betroffene Exchange-Varianten und Sicherheitsupdates
Microsoft stellt Sicherheitsupdates für die folgenden Exchange-Varianten bereit:
Exchange Server Subscription Edition RTM: KB5128895
Exchange Server 2019 CU15: KB5128896
Exchange Server 2019 CU14: KB5128897
Exchange Server 2016 CU23: KB5128898
Der Patchstatus der eingesetzten Exchange-Systeme sollte geprüft und das jeweils zugeordnete Sicherheitsupdate installiert werden. Microsoft empfiehlt eine zeitnahe Anwendung der Updates.
Exchange Server 2016 und Exchange Server 2019 befinden sich außerhalb des regulären Supports (End-of-Support: 14. Oktober 2025). Sicherheitsupdates für diese Varianten sind über das Period-2-ESU-Programm verfügbar. Als langfristige Option empfiehlt Microsoft eine Migration zu Exchange Server Subscription Edition.
Risiko durch XSS-Spoofing in Exchange-Weboberflächen
Die Schwachstelle kann nach dem Aufruf eines präparierten Links in einer Exchange-Weboberfläche wirksam werden. Die dokumentierten Auswirkungen umfassen Spoofing sowie — bei erfolgreicher Ausnutzung gegen ein Opfer mit administrativen Rechten — Zugriff auf oder Veränderung von Organisationsdaten.
Besondere Aufmerksamkeit verdienen daher Systeme mit extern erreichbaren Exchange-Weboberflächen und administrative Konten, die diese Dienste nutzen. Für die operative Bearbeitung sind drei Fragen relevant:
Welche Exchange-Systeme sind extern erreichbar?
Welcher Produktstand ist auf den jeweiligen Systemen eingesetzt?
Welches der vier bereitgestellten Updates ist dem System zugeordnet?
Die Antworten unterstützen die Zuordnung zu verantwortlichen Teams und die Einplanung der Updates in Change- und Wartungsprozesse.
Für Organisationen in Deutschland und Österreich, die unter die NIS-2-Richtlinie fallen (in Deutschland umgesetzt über das BSIG, in Österreich über das NISG), sind extern erreichbare Exchange-Instanzen Teil der meldepflichtigen Angriffsfläche. Bei einem erfolgreichen Angriff mit Zugriff auf personenbezogene Daten greift zusätzlich die DSGVO-Meldepflicht nach Art. 33 (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde). Für Organisationen in der Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS.
Sichtbarkeit für extern erreichbare Exchange-Dienste
LocateRisk unterstützt die Erfassung öffentlich erreichbarer Systeme und eingesetzter Software unter den eigenen Domains. Dadurch können extern erreichbare Exchange-Instanzen im Asset-Inventar sichtbar werden, etwa bei mehreren Domains, Tochtergesellschaften oder dezentral betriebenen Mailservern.
Diese Sichtbarkeit unterstützt die Priorisierung der Prüfung, ob Exchange-Dienste vorhanden sind und welche Teams für sie verantwortlich sind. Die konkrete Zuordnung eines Sicherheitsupdates erfordert weiterhin die Prüfung des Patchstands auf dem jeweiligen System.
Ergänzend kann Continuous Vendor Risk Management Hinweise liefern, wenn bei Technologieanbietern kritische Schwachstellen veröffentlicht werden oder sich deren Sicherheitsniveau verändert. Für CVE-2026-70279 liegt der unmittelbare Fokus auf den eigenen öffentlich erreichbaren Exchange-Diensten und deren Update-Status.
LocateRisk ist Made in Germany, wird ausschließlich in deutschen Rechenzentren betrieben und verarbeitet keine Daten durch US-Anbieter.
Bin ich betroffen?
Betroffen ist Microsoft Exchange Server; behoben wurde die Schwachstelle in [object Object], [object Object], [object Object], [object Object]. Wer wissen will, ob Microsoft Exchange Server in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-70279 ist eine Spoofing-Schwachstelle in Microsoft Exchange Server, die auf einer Cross-Site-Scripting-Schwäche (CWE-79) basiert. Sie wurde am 13. Oktober 2026 von Microsoft veröffentlicht und mit einem CVSS-Base-Score von 9,3 bewertet.
Betroffen sind Exchange Server SE RTM, Exchange Server 2019 CU15 und CU14 sowie Exchange Server 2016 CU23. Microsoft stellt die Sicherheitsupdates KB5128895, KB5128896, KB5128897 und KB5128898 bereit. Für Exchange Server 2016 und 2019 sind die Patches ausschließlich über das kostenpflichtige Period-2-ESU-Programm verfügbar.
Exchange Server 2016 und 2019 haben ihr reguläres Support-Ende am 14. Oktober 2025 erreicht. Das Period-2-ESU-Programm verlängert den Erhalt von sicherheitsrelevanten Updates bis Oktober 2026 gegen separate Lizenzkosten. Es ersetzt keinen vollständigen Herstellersupport und deckt ausschließlich Sicherheits-Patches ab.
Stand: 14.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-70279
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français