SecBoard
Zurück zur Übersicht
Hoch56 / 100Konfidenz: Mittel
In CISA KEVCVSS8.1EPSS0.5 %Über Netz erreichbarOhne Anmeldung
▸Herleitung der Bewertung(4)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-42897+25
  • Hoechster CVSS-Basiswert 8.1+15
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-42897, CVSS-Vektor AV:N/PR:N)+10
  • Spionagekampagne — Thema: state-sponsored, espionage | Ereignisbeleg: victim, targeted+6

Woraus sich die Konfidenz ergibt

  • Zwei unabhaengige Herausgeber berichten den Sachverhalt
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2025-66376

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Russian hackers exploit Exchange OWA zero-day for long-term mailbox access

BleepingComputer·
Originalartikel lesen bei BleepingComputer

Russische Hacker der Gruppe Laundry Bear (Void Blizzard) nutzen eine Zero-Day-Schwachstelle in Exchange Outlook Web Access (OWA) aus. Sie installieren die OWAReaper, um langfristigen Zugriff auf Postfächer zu erhalten. Nutzer sollten ihre Systeme umgehend auf diese Bedrohung überprüfen und Patches einspielen, sobald diese verfügbar sind.

SecBoard-Einordnung

Die Ausnutzung dieser Zero-Day-Schwachstelle ermöglicht Angreifern dauerhaften Zugriff auf E-Mail-Postfächer, was zu weitreichenden Datenlecks und Spionage führen kann.

Realistisch schlimmster Fall: Langfristiger, unbemerkter Zugriff auf sensible Kommunikationsdaten in Postfächern durch staatlich unterstützte Akteure, was zu erheblichen Informationsverlusten und strategischen Nachteilen führen kann.

Empfehlung: Umgehende Überprüfung von Exchange OWA-Servern auf Anzeichen einer Kompromittierung, Implementierung von Patches, sobald diese verfügbar sind, und verstärkte Überwachung des Netzwerkperimeters.

Im erfassten Bestand

  • ▸CVE-2026-42897 kommt damit in 6 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-42897 stand zum Zeitpunkt dieser Meldung seit 75 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVSS
8.1 · HIGH
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
im KEV seit
2026-05-15
Patch
unbekannt

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Organisationen, die Microsoft Exchange Server mit Outlook Web Access (OWA) betreiben.

Hersteller

Microsoft

Produkte

Microsoft

Prüfen

3
  • ▸Überprüfen Sie Exchange OWA-Server-Logs auf ungewöhnliche Zugriffe oder Aktivitäten, insbesondere von externen IP-Adressen.
  • ▸Suchen Sie nach der Präsenz der Backdoor OWAReaper oder unbekannten Dateien/Prozessen auf Exchange-Servern.
▸ 1 weitere
  • ▸Stellen Sie sicher, dass alle verfügbaren Sicherheitsupdates für Exchange Server installiert sind und planen Sie die sofortige Bereitstellung zukünftiger Patches für diese Schwachstelle.

Offene Punkte

4
▸ anzeigen
  • ▸Spezifische CVE-ID der Zero-Day-Schwachstelle ist nicht angegeben.
  • ▸Details zur Funktionsweise der OWAReaper-Backdoor sind nicht spezifiziert.
  • ▸Konkrete Indikatoren für eine Kompromittierung (IOCs) sind nicht im Artikel enthalten.
  • ▸Betroffene Exchange-Versionen sind nicht explizit genannt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Exchange extern erreichbar?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1114Email Collectionzugeordnet

„um langfristigen Zugriff auf Postfächer zu erhalten.“

T1190Exploit Public-Facing Applicationzugeordnet

„Russische Hacker der Gruppe Laundry Bear (Void Blizzard) nutzen eine Zero-Day-Schwachstelle in Exchange Outlook Web Access (OWA) aus.“

T1547.001Boot or Logon Autostart Execution: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folderzugeordnet

„Sie installieren die Backdoor OWAReaper, um langfristigen Zugriff auf Postfächer zu erhalten.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. BleepingComputerKontext
    Russian hackers exploit Exchange OWA zero-day for long-term mailbox access
  2. The Hacker NewsKontext
    Russian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation

Quellen & Belege· 2 unterschiedliche Quellen

BleepingComputerKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen
Security