Kerngegevens
- Leverancier
- Microsoft
- Producten
- Microsoft Exchange Server 2016 Cumulative Update 23
- Microsoft Exchange Server 2019 Cumulative Update 14
- Microsoft Exchange Server 2019 Cumulative Update 15
- Microsoft Exchange Server Subscription Edition RTM
- Soort software
- besturingssysteem
- Getroffen versies
- Microsoft Exchange Server 2016 Cumulative Update 23 vanaf 15.01.0.0 tot 15.01.2507.069
- Microsoft Exchange Server 2019 Cumulative Update 14 vanaf 15.02.0.0 tot 15.02.1544.041
- Microsoft Exchange Server 2019 Cumulative Update 15 vanaf 15.02.0.0 tot 15.02.1748.046
- Microsoft Exchange Server Subscription Edition RTM vanaf 15.02.0.0 tot 15.02.2562.043
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Microsoft Exchange Server 2016 Cumulative Update 23 15.01.2507.069
- Microsoft Exchange Server 2019 Cumulative Update 14 15.02.1544.041
- Microsoft Exchange Server 2019 Cumulative Update 15 15.02.1748.046
- Microsoft Exchange Server Subscription Edition RTM 15.02.2562.043
- CVE gepubliceerd
- 14 mei 2026
- Op de KEV-lijst sinds
- 15 mei 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Microsoft Exchange Server kan een aanvaller een speciaal opgemaakte e-mail sturen. Opent de ontvanger die mail in Outlook Web Access, dan kan er kwaadaardige code (JavaScript) in de browser draaien, bijvoorbeeld om gegevens te stelen of zich voor te doen als de gebruiker. Het lek wordt actief misbruikt en staat sinds 15 mei 2026 op de KEV-lijst van CISA.
Wie loopt risico?
Je loopt risico als je een on-premises Exchange Server gebruikt (Exchange Server 2016 CU23, Exchange Server 2019 CU14 of CU15, of Exchange Server Subscription Edition) zonder de update van juni 2026, en je gebruikers Outlook Web Access gebruiken. Exchange Online (Microsoft 365) is niet getroffen. Staat de Exchange Emergency Mitigation Service aan (standaard zo), dan heeft Microsoft al automatisch een tijdelijke mitigatie toegepast.
Wat moet je doen?
Controleer je versie
Kijk welke Exchange Server en welk buildnummer je gebruikt. Servers met een lager buildnummer dan de opgeloste versie zijn kwetsbaar.
Installeer de beveiligingsupdate van juni 2026
Werk bij naar 15.01.2507.069 (2016 CU23, KB5094144), 15.02.1544.041 (2019 CU14, KB5094142), 15.02.1748.046 (2019 CU15, KB5094140) of 15.02.2562.043 (Subscription Edition, KB5094139).
Controleer de Emergency Mitigation Service
Zorg dat de Exchange Emergency Mitigation Service aan staat. Die past de tijdelijke mitigatie van Microsoft automatisch toe zolang je nog niet hebt bijgewerkt.
Let op verdachte activiteit
Omdat het lek actief wordt misbruikt, is het verstandig te letten op ongebruikelijke activiteit in je mailomgeving. Waarschuw gebruikers voor onverwachte of verdachte berichten.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een cross-site scripting-kwetsbaarheid (CWE-79) in Microsoft Exchange Server, door Microsoft aangeduid als spoofing. Een aanvaller stuurt een speciaal opgemaakte e-mail. Opent de gebruiker die in Outlook Web Access (OWA) en wordt aan bepaalde voorwaarden voor interactie voldaan, dan wordt willekeurige JavaScript uitgevoerd in de browser van de gebruiker. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) laat zien dat de aanval geen rechten vereist maar wel een handeling van een gebruiker. Microsoft gaf de score 8,1. Microsoft publiceerde het lek op 14 mei 2026 buiten Patch Tuesday met een automatische mitigatie via de Exchange Emergency Mitigation Service; op 9 juni 2026 volgden de beveiligingsupdates.
CVSS-vector (versie 3.1, basisscore 8,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-79 · Onjuiste neutralisatie van invoer bij het genereren van webpagina's (cross-site scripting)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 70,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 15 mei 2026
- Deadline van CISA
- 29 mei 2026
- Gebruikt door ransomwaregroepen
- Niet bekend