Hybride Exchange Server in Gefahr Mehr als 28.000 Microsoft Exchange Server ungepatcht

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Gefährliche Exchange-Schwachstelle: CVE-2025-53786 betrifft hybride Ex­change-Server 2016 und 2019. Angreifer mit Adminrechten können von lokalen Servern aus in die Cloud eindringen. Schon bald drohen Funk­tionsausfälle ohne dedizierte Hybrid-App.

Seit einigen Tagen treibt die Schwachstelle CVE-2025-53786 (CVSS-Score 8.0) ihr Unwesen. Sie betrifft die hybriden Umgebungen von Microsoft Exchange. Die Schwachstelle ermöglicht es Cyberangreifern mit Administratorzugriff auf einen lokalen Exchange-Server, ihre Berech­ti­gungen in der verbundenen Exchange-Online-Umgebung zu erweitern. Die Akteure könnten zudem vertrauenswürdige Token oder API-Aufrufe fälschen oder manipulieren, die von der Cloud-Seite aus als legitim akzeptiert werden. So können die Angreifer sich lateral vom lokalen Netzwerk in die Cloud-Umgebung ausbreiten und gegebenenfalls sogar das gesamte Acitve Direcotry und die Infrastruktur des betroffenen Unternehmens kompromittieren. Laut Shadowserver sind derzeit über 28.000 Server ungepatcht.

Update: Patches und erste Untersuchungserbenisse

0-Day in SharePoint wird weltweit für Angriffe genutzt

Hintergrund zu CVE-2025-53786

Microsoft hatte bereits am 18. April 2025 Änderungen an der Sicherheit von Exchange-Hybridbereitstellungen angekündigt – zusammen mit einem nicht-sicherheitsrelevanten Hotfix. Ziel dieser Anpassungen war es, die Sicherheit hybrider Exchange-Umgebungen langfristig zu erhöhen. Nach weiterer Analyse stellte Microsoft jedoch fest, dass die im April 2025 veröffentlichten Anleitungen und Konfigurationsschritte für Hybrid-Umgebungen selbst eine kritische Schwachstelle schaffen konnten – die dann als CVE-2025-53786 dokumentiert wurde. Die nun veröffentlichten Sicherheitspatches und Konfigurationsanweisungen für CVE-2025-53786 basieren auf dem April-Hotfix.

Somit ist der Hotfix vom April 2025 Voraussetzung für die Konfiguration der neuen Hybrid-Architektur. Ab Oktober 2026 wird der Zugriff auf Exchange Online via Exchange Web Services (EWS) endgültig abgeschaltet, während bereits im Oktober 2025 EWS für Umgebungen ohne dedizierte Hybrid-App blockiert wird. Unternehmen, die nicht rechtzeitig umstellen, riskieren also nicht nur das Bestehen der Sicherheitslücke CVE-2025-53786, sondern auch den Verlust zentraler Exchange-Funktionen.

Support-Ende Windows 10, Azure & Co

Diese Produkte mustert Microsoft 2026 aus

Schutz vor Exchange-Sicherheitslücke

Am 6. August veröffentlichte Microsoft ein Security Advisory zu CVE-2025-53786. Demnach sind folgende Exchange Server in hybriden Bereitstellungen anfällig:

• Exchange Server 2016 Kumulatives Update 23 (Versionen vor 15.01.2507.055)

• Exchange Server 2019 Kumulatives Update 14 (Versionen vor 15.02.1544.025)

• Exchange Server 2019 Kumulatives Update 15 (Versionen vor 15.02.1748.024)

• Exchange Server Subscription Edition RTM (Versionen vor 15.02.2562.017)

Einfacher Angriff durch Schwachstellen

Hacker können Exchange-Server über die PowerShell angreifen

Diese Sicherheitsmaßnahmen empfiehlt Microsoft betroffenen Unternehmen:

• Lesen Sie die Microsoft-Anleitung, um festzustellen, ob Ihre Microsoft-Hybrid­bereit­stellungen möglicherweise betroffen sind und ein kumulatives Update verfügbar ist.

• Installieren Sie die Exchange Server Hotfix Updates vom April 2025 von Microsoft auf dem lokalen Exchange Server und befolgen Sie die Konfigurationsanweisungen von Microsoft, um die Exchange Hybrid App bereitzustellen, die der Hersteller als sicherere Alternative zu den älteren Hybrid-Authentifizierungsmechanismen nennt.

• Unternehmen, die Exchange Hybrid verwenden oder bereits konfiguriert haben, es aber nicht mehr nutzen, finden Hinweise zum Zurücksetzen der KeyCredentials des Service Principal im „Clean-Up Mode“ von Microsoft.

• Führen Sie anschließend den Microsoft Exchange Health Checker aus, um festzustellen, ob weitere Schritte erforderlich sind.

Termine

Das war der Microsoft Patchday 2025

Darüber hinaus empfiehlt die US-Behörde CISA Unternehmen dringend, öffentlich zu­gäng­liche Versionen von Exchange Server oder SharePoint Server, die das Ende ihrer Lebens­dauer (EOL) erreicht haben, vom Internet zu trennen. In dem Emergency Directive „ED 25-02“ betont die CISA zudem, sehr besorgt darüber zu sein, wie leicht ein Angreifer seine Berech­ti­gun­gen erweitern und erhebliche Kontrolle über die M365 Exchange Online-Umge­bun­gen ihrer Opfer erlangen können – obwohl die Ausnutzung von CVE-2025-53786 erst möglich ist, wenn ein Angreifer sich administrativen Zugriff auf den lokalen Exchange-Server verschafft hat. Eie sofortige Risikominderung sei daher unerlässlich. Die Frist für US-Unternehmen, die genannten Sicherheitsmaßnahmen umzusetzen, endete am Montag, den 11. August.

Microsoft Patchday Juli 2025

Microsoft erwartet Angriffe innerhalb von 30 Tagen

(ID:50513498)