Exchange-Lücke CVE-2026-42897: Russische Hacker installieren OWAReaper
Veröffentlicht am: 02.08.2026 um 09:48 Uhr | Redaktion boerse-global.de
Eine russische Hackergruppe nutzt aktuell eine kritische Sicherheitslücke in Microsoft Exchange Server aus, um dauerhaft Zugriff auf Unternehmens- und Regierungsmailboxen zu erlangen. Betroffen sind Organisationen in den USA und Europa – auch deutsche Unternehmen sollten alarmiert sein.
Gefährliche Sicherheitslücke in Outlook Web Access
Die Angreifer der Gruppe TA488, auch bekannt als Laundry Bear oder Void Blizzard, nutzen eine als CVE-2026-42897 registrierte Schwachstelle. Die Cross-Site-Scripting-Lücke weist einen CVSS-Score von 8,1 auf – sie gilt damit als hochriskant. Betroffen sind Exchange Server 2016, 2019 und die Subscription Edition.
Besonders tückisch: Es handelt sich um einen sogenannten Half-Click-Exploit. Opfer müssen weder auf einen Link klicken noch einen Anhang öffnen. Bereits das bloße Öffnen einer präparierten E-Mail genügt, um den Angriff auszulösen. Microsoft hatte erste Hinweise zur Absicherung bereits am 14. Mai 2026 veröffentlicht, am Folgetag wurde die Lücke in den Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA aufgenommen. Sicherheitspatches folgten am 9. Juni und 14. Juli 2026.
Angesichts immer komplexerer Angriffsmethoden müssen Unternehmen ihre IT-Sicherheit stärken, ohne zwingend in teure neue Infrastruktur investieren zu müssen. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken effektiv schließen und aktuelle Bedrohungen abwenden. IT-Sicherheits-Leitfaden für Unternehmen kostenlos herunterladen
OWAReaper: Schadsoftware mit hartnäckiger Präsenz
Nach erfolgreichem Einbruch installieren die Angreifer eine spezialisierte Browser-Software namens OWAReaper. Dieses Werkzeug verschafft sich dauerhaften Zugriff auf die Mailbox des Opfers und kann Passwörter aus Browser-Autofill-Funktionen sowie OAuth-Tokens abgreifen.
Die Schadsoftware versteckt sich in der lokalen Speicherung des Browsers und manipuliert zudem die Mailbox-Berechtigungen auf Serverebene. Den Angreifern werden damit Besitzerrechte eingeräumt – selbst ein Passwortwechsel oder eine komplette Neuinstallation des Rechners kann sie nicht vertreiben. Zusätzlich fängt OWAReaper eingehende E-Mails ab und deaktiviert Pop-up-Benachrichtigungen, um seine Aktivitäten zu verschleiern.
Da Cyberkriminelle zunehmend auf psychologische Tricks und technische Hintertüren setzen, ist eine proaktive Absicherung der gesamten Belegschaft unerlässlich. Erfahren Sie in diesem kostenlosen Report, wie Sie Angriffsversuche frühzeitig entlarven und Ihr Unternehmen wirksam schützen. Anti-Phishing-Paket für Firmen gratis anfordern
Breit angelegte Infrastruktur
Für die Steuerung der kompromittierten Systeme setzt TA488 auf eine vielfältige Infrastruktur. Beobachtet wurden unter anderem die Nutzung der GitHub-Commit-Such-API sowie E-Mail-basierte Kommunikation. Der Datendiebstahl erfolgt über verschlüsselte HTTPS-Verbindungen und DNS-Tunneling.
Mit der aktuellen Angriffswelle begann die Gruppe am 22. Juli 2026 – die zugrunde liegende Infrastruktur lässt sich allerdings bis März 2026 zurückverfolgen. Sicherheitsforscher warnen eindringlich: Unternehmen mit eigenen Exchange-Servern sollten die im Juni und Juli veröffentlichten Patches umgehend installieren, um sich vor OWAReaper zu schützen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
