Angreifer schleusen Schadcode via Outlook ein
Eine Schwachstelle in Microsoft Exchange Server ermöglicht es Cyberkriminellen, in den Webbrowsern von Outlook-Usern bösartigen Javascript-Code auszuführen. Das potenzielle Opfer muss nur eine bestimmte E-Mail öffnen und schon kann der Angreifer seinen Schadcode einschleusen.
Cyberkriminelle nutzen eine Sicherheitslücke in Microsoft Exchange Server, um Usern von Outlook Web Access (OWA) bösartigen Javascript-Code unterzuschieben. Microsoft machte bereits Mitte Mai auf die Schwachstelle mit der Kennung CVE-2026-42897 aufmerksam und empfahl eine temporäre Lösung. Nun sind Sicherheitsupdates verfügbar, welche die Lücke schliessen, wie das Tech-Unternehmen in einem Blogpost schreibt.
Durch die Schwachstelle können Angreifer speziell angefertigte E-Mails an OWA-User versenden, wie Microsoft im Mai warnte. Wer eine solche E-Mail in der Browserversion von Outlook öffne, ermögliche es dem Absender, seinen schädlichen Javascript-Code im Browser auszuführen.
Microsoft empfiehlt System-Admins, die Juni-Patches so schnell wie möglich zu installieren, um die Lücke zu schliessen. Gleichzeitig soll man die temporären Abhilfemassnahmen aktiviert lassen, da diese eine zusätzliche Absicherung bieten würden.
Systeme, die noch Exchange Server 2016 oder 2019 verwenden, kann man laut Blogpost nur aktualisieren, wenn man Teil des "Period 2 Extended Security Update"-Programmes ist. Teilnehmende würden noch bis Oktober 2026 Sicherheitsupdates für die alten Systeme erhalten; allen anderen sei empfohlen, möglichst bald zur aktuellen Exchange Server Subscription Edition zu migrieren.
Das könnte Sie auch interessieren: Microsoft hat kürzlich zwei Sicherheitslücken in seinem Virenschutz Defender geschlossen, die bereits aktiv ausgenutzt wurden. Lesen Sie hier mehr dazu.
Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.
Cybersöldner: Wenn Kriminelle dem Staat unter die Arme greifen
Wenn Satelliten schweigen: Die wachsende Cybergefahr im All
Wie man Fake-Onlineshops erkennt
So beginnt man, Cybervorfälle schon vor dem Ernstfall zu bewältigen
Cyberangriffe auf Unternehmen: die Checkliste für den Ernstfall
DDoS-Attacken: Im Auge des Daten-Hurrikans
So verschärft KI das Problem von Kinderfotos im Netz
Warum Cybersicherheit in Spitälern auf der Strecke bleibt
Verschlüsselung: Die Kunst, so zu schreiben, dass fast niemand es versteht
