Exchange-Lücke CVE-2026-45504: Exploit jetzt öffentlich verfügbar
Veröffentlicht am: 03.07.2026 um 16:09 Uhr | Redaktion boerse-global.de
Das erhöht den Druck auf Unternehmen, endlich die verfügbaren Updates einzuspielen.
Der Exploit, den der Forscher Batuhan Er von HawkTrace am 3. Juli veröffentlichte, zielt auf die Schwachstelle CVE-2026-45504 ab. Dabei handelt es sich um eine sogenannte Server-Side-Request-Forgery-Lücke (SSRF) mit einem CVSS-Score von 8,8 von 10. Angreifer mit niedrigen Zugriffsrechten können damit beliebige lokale Dateien auf dem Server auslesen.
So funktioniert der Angriff
Das Problem liegt in der Art, wie Exchange Server mit EWS-Referenzanhängen (Exchange Web Services) umgeht und diese in die WOPI-Schnittstelle (Web Application Open Platform Interface) einbindet – eine Technologie, die oft für die OneDrive-Integration genutzt wird. Durch einen manipulierten EWS-Anhang kann ein Angreifer den Server dazu bringen, Anfragen an lokale Dateien zu stellen.
Der Exploit umgeht bestehende Sicherheitsfilter, indem er Fragment-Zeichen verwendet, um das Datei-Schema file:// zu missbrauchen. So können Angreifer unbemerkt sensible Daten vom Server stehlen.
Betroffen sind lokale Installationen von Exchange Server 2016 CU23, Exchange Server 2019 CU14 und CU15 sowie der Subscription Edition RTM.
Microsoft hat die Lücke bereits im Juni 2026 mit den Updates KB5094139 und KB5094142 geschlossen. Sicherheitsexperten raten dringend, diese Patches sofort einzuspielen oder zumindest das file://-Schema zu blockieren.
Weitere Gefahren für Exchange und SharePoint
Der öffentliche Exploit für CVE-2026-45504 setzt Unternehmen massiv unter Druck – Angreifer können mit niedrigen Rechten lokale Dateien auslesen. Dieser Report liefert eine Sofort-Checkliste zum Patchen und zur Blockade des file://-Schemas. Sicherheits-Report jetzt anfordern
Die Veröffentlichung des Exploits ist Teil einer ganzen Serie von Sicherheitswarnungen rund um Microsofts Produktivitätsplattform. Erst am 2. Juli wurden Details zu CVE-2026-54998 bekannt – einer Rechteausweitung in Exchange Online, die Angreifern höhere Zugriffsrechte verschaffen kann.
Noch brisanter: Die US-Sicherheitsbehörde CISA hat am 1. Juli die SharePoint-Lücke CVE-2026-45659 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Diese Lücke zur Remote-Code-Ausführung betrifft die lokalen Versionen von SharePoint 2016, 2019 und der Subscription Edition. Microsoft hatte den Fehler eigentlich im Mai 2026 behoben, ihn aber zunächst nicht im offiziellen Bulletin aufgeführt und als wenig gefährlich eingestuft. Jetzt bestätigt CISA aktive Angriffe – und setzt Bundesbehörden eine Frist bis zum 4. Juli zur Behebung.
Hinzu kommt CVE-2026-42897, eine Cross-Site-Scripting-Lücke im Exchange Outlook Web Access (OWA). Auch dieser Zero-Day wurde in die CISA-Liste aufgenommen, nachdem Angreifer manipulierte E-Mails nutzten, um schädliches JavaScript in authentifizierten Benutzersitzungen auszuführen.
Großangelegte Angriffe auf die Infrastruktur
Die Dringlichkeit der Patches zeigt ein aktueller Fall: Das FBI warnte am 3. Juli vor der Gruppe TeamPCP, die zwischen Februar und Mai 2026 eine Supply-Chain-Attacke durchführte. Mit manipulierten Software-Updates erbeuteten die Angreifer über 500.000 Zugangsdaten und 300 GB Daten, darunter Cloud-Tokens und Kubernetes-Geheimnisse.
Auch das Heimatschutzministerium der USA bestätigte einen Einbruch in seine Plattform HSIN (Homeland Security Information Network) zwischen Ende Mai und Anfang Juni 2026. Unbefugte Zugriffe auf Server und SharePoint-Instanzen wurden entdeckt – klassifizierte Systeme blieben allerdings verschont.
Während TeamPCP über 500.000 Zugangsdaten erbeutete und CISA aktive Angriffe auf SharePoint bestätigt, müssen Exchange-Administratoren jetzt handeln. Unser Leitfaden zeigt, wie Sie Ihre Infrastruktur gegen SSRF-Exploits und Supply-Chain-Angriffe absichern. Exchange-Sicherheitsleitfaden sichern
Sicherheitsfirmen wie Kaspersky berichten zudem von einer neuen Malware namens SharkLoader, die internetverbundene Dienste wie Exchange und SharePoint angreift. Die Schadsoftware nutzt eine Technik namens „Perfect DLL Hijacking", um Cobalt-Strike-Payloads direkt im Arbeitsspeicher auszuführen. Betroffen sind vor allem Organisationen in Europa, Asien und dem Nahen Osten.
Für Unternehmen bedeutet das: Wer die Juni-Updates noch nicht installiert hat, sollte dies umgehend nachholen. Die Zeit drängt.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
