Rund drei Wochen nach der Erstveröffentlichung hat Microsoft nun dauerhafte Sicherheitsupdates für die kritische Exchange-Lücke CVE-2026-42897 bereitgestellt. Das Unternehmen empfiehlt, die Juni-2026-Patches so schnell wie möglich einzuspielen. Bislang stand nur der Exchange Emergency Mitigation Service (EEMS) als temporäre Übergangslösung zur Verfügung – ein permanenter Fix fehlte.

Die Updates stehen für alle betroffenen Exchange-Versionen bereit: Exchange Server 2016 Cumulative Update 23 (KB5094144), Exchange Server 2019 Cumulative Update 14 (KB5094142), Exchange Server 2019 Cumulative Update 15 (KB5094140) sowie die Subscription Edition RTM (KB5094139). Wer noch keine der bisher empfohlenen Mitigationen eingespielt hat, sollte das parallel zum Patchen nachholen – Microsoft empfiehlt, die Schutzmaßnahmen auch nach dem Update aktiv zu lassen, da sie eine zusätzliche Verteidigungsebene bieten.

Die Schwachstelle ermöglicht es Angreifern, über eine präparierte E-Mail beliebigen JavaScript-Code im Browser von OWA-Nutzern auszuführen – ohne besondere Rechte und mit niedrigem Aufwand. Laut Microsoft wird die Lücke seit ihrer Entdeckung aktiv ausgenutzt. Betroffen sind ausschließlich On-Premises-Installationen; Exchange Online ist nicht verwundbar.