▸▾Herleitung der Bewertung(4)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-42897+25
- Hoechster CVSS-Basiswert 8.1+15
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-42897, CVSS-Vektor AV:N/PR:N)+10
- Spionagekampagne — Thema: state-sponsored, espionage | Ereignisbeleg: victim, targeted+6
Woraus sich die Konfidenz ergibt
- Zwei unabhaengige Herausgeber berichten den Sachverhalt
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2025-66376
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Russian hackers exploit Exchange OWA zero-day for long-term mailbox access
Russische Hacker der Gruppe Laundry Bear (Void Blizzard) nutzen eine Zero-Day-Schwachstelle in Exchange Outlook Web Access (OWA) aus. Sie installieren die Backdoor OWAReaper, um langfristigen Zugriff auf Postfächer zu erhalten. Nutzer sollten ihre Systeme umgehend auf diese Bedrohung überprüfen und Patches einspielen, sobald diese verfügbar sind.
SecBoard-Einordnung
Die Ausnutzung dieser Zero-Day-Schwachstelle ermöglicht Angreifern dauerhaften Zugriff auf E-Mail-Postfächer, was zu weitreichenden Datenlecks und Spionage führen kann.
Realistisch schlimmster Fall: Langfristiger, unbemerkter Zugriff auf sensible Kommunikationsdaten in Postfächern durch staatlich unterstützte Akteure, was zu erheblichen Informationsverlusten und strategischen Nachteilen führen kann.
Empfehlung: Umgehende Überprüfung von Exchange OWA-Servern auf Anzeichen einer Kompromittierung, Implementierung von Patches, sobald diese verfügbar sind, und verstärkte Überwachung des Netzwerkperimeters.
Im erfassten Bestand
- ▸CVE-2026-42897 kommt damit in 6 erfassten Meldungen der letzten 90 Tage vor.
- ▸CVE-2026-42897 stand zum Zeitpunkt dieser Meldung seit 75 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 8.1 · HIGH
- EPSS
- 0.5%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- im KEV seit
- 2026-05-15
- Patch
- unbekannt
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Organisationen, die Microsoft Exchange Server mit Outlook Web Access (OWA) betreiben.
Hersteller
Produkte
Prüfen
3- ▸Überprüfen Sie Exchange OWA-Server-Logs auf ungewöhnliche Zugriffe oder Aktivitäten, insbesondere von externen IP-Adressen.
- ▸Suchen Sie nach der Präsenz der Backdoor OWAReaper oder unbekannten Dateien/Prozessen auf Exchange-Servern.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass alle verfügbaren Sicherheitsupdates für Exchange Server installiert sind und planen Sie die sofortige Bereitstellung zukünftiger Patches für diese Schwachstelle.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Spezifische CVE-ID der Zero-Day-Schwachstelle ist nicht angegeben.
- ▸Details zur Funktionsweise der OWAReaper-Backdoor sind nicht spezifiziert.
- ▸Konkrete Indikatoren für eine Kompromittierung (IOCs) sind nicht im Artikel enthalten.
- ▸Betroffene Exchange-Versionen sind nicht explizit genannt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Exchange extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„um langfristigen Zugriff auf Postfächer zu erhalten.“
„Russische Hacker der Gruppe Laundry Bear (Void Blizzard) nutzen eine Zero-Day-Schwachstelle in Exchange Outlook Web Access (OWA) aus.“
„Sie installieren die Backdoor OWAReaper, um langfristigen Zugriff auf Postfächer zu erhalten.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- BleepingComputerKontextRussian hackers exploit Exchange OWA zero-day for long-term mailbox access
- The Hacker NewsKontextRussian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile