Mobile-Menu

Microsoft kämpft mit zwei Schwachstellen XSS in Exchange, BitLocker durch Downgrade-Angriffe angreifbar

Von Melanie Staudacher 4 min Lesedauer

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Zwei Sicherheitslücken gefährden derzeit ein breites Spektrum an Micro­soft-Kunden. Während der Hersteller an einer Lösung für eine Cross-site-scripting-Schwachstelle im Exchange Server bastelt, können Angreifer die BitLocker-Verschlüsselung aushebeln.

Unternehmen sollten selbst aktiv werden, um sich vor Cyberangriffen zu schützen, indem sie prüfen, ob der Exchange Emergency Mitigation Service aktiviert ist, und für BitLocker eine zusätzliche Authentifizierung beim Systemstart konfigurieren.(Bild: Skórzewiak - stock.adobe.com)
Unternehmen sollten selbst aktiv werden, um sich vor Cyberangriffen zu schützen, indem sie prüfen, ob der Exchange Emergency Mitigation Service aktiviert ist, und für BitLocker eine zusätzliche Authentifizierung beim Systemstart konfigurieren.
(Bild: Skórzewiak - stock.adobe.com)

Zwei sehr unglückliche Fehler bei Microsoft gefährden derzeit Nutzersysteme. Einmal geht es um eine Sicherheitslücke im Exchange Server und einmal um die Möglichkeit eines physischen Angriffs auf BitLocker.

Cross-site scripting im Exchange Server möglich

Die Schwachstelle EUVD-2026-30343 / CVE-2026-42897 (CVSS-Score 8.1, EPSS-Score* 12.34) beschreibt eine Cross-site-scripting-Schwachstelle (XSS) im Microsoft Exchange Server, die auf einer unzureichenden Neutralisierung von Eingaben basiert. Ein nicht autorisierter Angreifer kann dadurch beliebigen JavaScript-Code im Browserkontext ausführen und so Spoofing-Angriffe über das Netzwerk durchführen. Betroffen davon sind folgende Versionen:

  • Exchange Server 2016
  • Exchange Server 2019
  • Exchange Server Subscription Edition

Die CISA hat die Schwachstelle am 15. Mai 2026 in ihren Katalog der bekannten, ausgenutzten Schwachstellen aufgenommen. Demnach wird EUVD-2026-30343 / CVE-2026-42897 bereits aktiv ausgenutzt und US-Behörden haben bis zum 29. Mai Zeit, ihre Systeme abzusichern.

In seinem Scherheitshinweis erläutert Microsoft, dass der Exchange Emergency Mitigation Service Abhilfemaßnahmen automatisch vornimmt. Dieser ist standardmäßig aktiviert. Falls dies auf Ihrem Exchange Server nicht der Fall ist, müssen Sie ihn manuell aktivieren. Eine Anleitung dazu finden Sie hier. Über den Exchange Emergency Mitigation Service stellt der Hersteller Workarounds bereit, bis eine dauerhafte, sichere Lösung entwickelt wurde.

Downgrade-Attacken umgehen BitLocker-Funktionen

Und auch die zweite Schwachstelle sollte schnellstmöglich behoben werden. Denn sie könnte die Festplattenverschlüsselung BitLocker auf Windows-11-Systemen innerhalb von wenigen Minuten funktionsunfähig machen. Dabei handelt es sich um die Sicherheitslücke EUVD­2025-20532 / CVE-2025-48804 (CVSS-Scoe 6.8, EPSS-Score 0.46). Diese hatte Microsoft eigentlich bereits bei seinem Patchday im Juli 2025 geschlossen, doch wie das Sicherheits­un­ter­nehmen Intrinsec nun aufzeigte, lässt sich die Schwachstelle trotz installiertem Patch aus­nutzen.

Voraussetzung für eine erfolgreiche Attacke sei der physische Zugriff auf den Zielrechner. Angreifer könnten dann eine Lücke zwischen dem Einspielen eines Patches und dem Widerruf alter Signaturzertifikate missbrauchen, da Secure Boot zwar die Echtheit des Windows-Bootmanagers prüfe, jedoch nur anhand des verwendeten Zertifikats. Die konkrete Ver­sions­nummer werde bei der Prüfung außer Acht gelassen, was dazu führe, dass ein Angreifer das System mit einer älteren, verwundbaren Version des Bootmanagers, einem sogenannten Downgrade, starten könne. Da diese Version trotz bekannter Sicherheitslücken eine gültige Signatur besitze, stufe Secure Boot den Startvorgang als vertrauenswürdig ein. Dies ermögliche es, das Trusted Platform Module (TPM) zur Herausgabe der BitLocker-Schlüssel zu bewegen, wodurch die Festplattenverschlüsselung ausgehebelt werde und voller Zugriff auf die Daten des Opfers möglich sei.

Obwohl ein physischer Zugriff auf das Zielgerät benötigt wird, sollten Nutzer das Problem nicht auf die leichte Schulter nehmen. Denn EUVD-2025-20532 / CVE-2025-48804 ist sehr weit­reichend, da sie nicht an eine spezifische Windows-Update-Version gebunden ist, sondern an die Art und Weise, wie Secure Boot und BitLocker grundsätzlich zusammenarbeiten. Nahezu alle modernen Windows-Versionen sind anfällig:

  • Windows Server 2016, Versionen 10.0.14393.0 <10.0.14393.8246
  • Windows Server 2022, Versionen 10.0.20348.0 <10.0.20348.3932
  • Windows Server 2016 (Server Core installation), Versionen 10.0.14393.0 <10.0.14393.8246
  • Windows Server 2025, Versionen 10.0.26100.0 <10.0.26100.4652
  • Windows Server 2012 R2, Versionen 6.3.9600.0 <6.3.9600.22676
  • Windows 10 Version 22H2, Versionen 10.0.19045.0 <10.0.19045.6093
  • Windows 11 version 22H3, Versionen 10.0.22631.0 <10.0.22631.5624
  • Windows 10 Version 1607, Versionen 10.0.14393.0 <10.0.14393.8246
  • Windows Server 2019 (Server Core installation), Versionen 10.0.17763.0 <10.0.17763.7558
  • Windows Server 2012, Versionen 6.2.9200.0 <6.2.9200.25573
  • Windows 10 Version 21H2, Versionen 10.0.19044.0 <10.0.19044.6093
  • Windows Server 2025 (Server Core installation), Versionen 10.0.26100.0 <10.0.26100.4652
  • Windows Server 2022, 23H2 Edition (Server Core installation), Versionen 10.0.25398.0 <10.0.25398.1732
  • Windows 11 Version 23H2, Versionen 10.0.22631.0 <10.0.22631.5624
  • Windows Server 2012 R2 (Server Core installation), Versionen 6.3.9600.0 <6.3.9600.22676
  • Windows Server 2012 (Server Core installation, Versionen v6.2.9200.0 <6.2.9200.25573
  • Windows 10 Version 1507, Versionen 10.0.10240.0 <10.0.10240.21073
  • Windows 11 version 22H2, Versionen 10.0.22621.0 <10.0.22621.5624
  • Windows 10 Version 1809, Versionen 10.0.17763.0 <10.0.17763.7558
  • Windows Server 2019, Versionen 10.0.17763.0 <10.0.17763.7558
  • Windows 11 Version 24H2, Versionen 10.0.26100.0 <10.0.26100.4652

Besonders gefährdet seien Systeme, bei denen BitLocker nur mit dem TPM-Schutz und ohne zusätzliche PIN abgesichert wird. In solchen Fällen gebe das TPM den Schlüssel ohne jegliche User-Interaktion frei. Systeme, die über den TPM-Schutz sowie eine zusätzliche PIN verfügen, seien nicht betroffen. Auch Rechner, die bereits das Zertifikat „Windows UEFI CA 2023“ verwenden, seien von EUVD-2025-20532 / CVE-2025-48804 ebenfalls nicht betroffen. Doch die Gefahr für Angriffe erhöht sich, da via GitHub ein Proof of Concept veröffentlicht wurde.

Der entsprechende Sicherheitshinweis von Microsoft aus dem vergangenen Jahr wurde nicht aktualisiert. Die Experten von Intrinsec empfehlen deshalb, die Aktualisierung KB5025885 einzuspielen. Diese behebt das Design-Problem des Secure-Boot-Prozesses. Zudem sollten Nutzer für erweiterten Schutz eine PIN-Abfrage beim Systemstart aktivieren.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

(ID:50849737)

Weiterführende Inhalte