Wichtige Information für unsere Kunden
Wichtige Sicherheitsupdates
Kritische Schwachstelle in hybriden Exchange-Umgebungen
25.08.2025 | Die Schwachstelle CVE-2025-53786 (CVSS-Score 8.0) betrifft hybride Microsoft-Exchange-Umgebungen, in denen lokale Exchange-Server (2016 oder 2019) mit Exchange Online verbunden sind. Angreifer mit Administratorzugriff auf einen lokalen Server können ihre Berechtigungen in der Cloud ausweiten, indem sie vertrauenswürdige Token oder API-Aufrufe fälschen. Dadurch ist eine laterale Ausbreitung in die Cloud möglich – bis hin zur Kompromittierung des gesamten Active Directory und der Unternehmensinfrastruktur.
Ab Oktober 2025 wird der Zugriff auf Exchange Online via Exchange Web Services (EWS) für Umgebungen ohne dedizierte Hybrid-App blockiert.
Ab Oktober 2026 wird EWS dann endgültig abgeschaltet. Unternehmen, die nicht rechtzeitig umstellen, riskieren somit nicht nur das Fortbestehen der Sicherheitslücke, sondern auch den Verlust zentraler Exchange-Funktionen.
Betroffene Versionen
Laut Microsoft sind folgende Exchange-Server in hybriden Umgebungen verwundbar:
- Exchange 2016 CU 23 (vor Version 15.01.2507.055)
- Exchange 2019 CU 14 (vor Version 15.02.1544.025)
- Exchange 2019 CU 15 (vor Version 15.02.1748.024)
- Exchange Server Subscription Edition RTM (vor Version 15.02.2562.017)
Was sollten Sie tun?
