Sicherheitsforscher des IT-Sicherheitsunternehmens Proofpoint haben eine schwerwiegende Schwachstelle in Microsofts Outlook Web Access (OWA) identifiziert, die bereits aktiv für Cyberangriffe genutzt wird. Die unter der Kennung CVE-2026-42897 geführte Sicherheitslücke weist eine kritische Bewertung von 8.1 auf der CVSS-Skala auf. Den Analysen zufolge ermöglicht die Schwachstelle die Ausführung von bösartigem JavaScript-Code allein durch das Öffnen einer präparierten E-Mail. Dieser sogenannte Halb-Klick-Exploit kann ohne weitere Nutzerinteraktion zur vollständigen Übernahme des betroffenen Benutzerkontos führen.
Aktive Ausnutzung durch Laundry Bear
Hinter den Angriffen wird die russische Gruppierung TA488 vermutet, die auch unter den Namen Laundry Bear oder Void Blizzard bekannt ist. Laut den Sicherheitsforschern nutzt die Gruppe die Schwachstelle CVE-2026-42897 seit dem 22. Juli 2026 gezielt aus. Bemerkenswert sei dabei, dass die Kampagne bereits einen Tag vor einer entsprechenden offiziellen Warnung des Softwareherstellers Zimbra einsetzte.
Die Angreifer nutzen für ihre Kampagne banale Betreffzeilen in den präparierten E-Mails, um sicherzustellen, dass die Nachrichten von Sicherheitssystemen oder Nutzern lediglich als unwichtiger Junk eingestuft werden. Der eigentliche Exploit ist jedoch in der E-Mail verborgen und wird beim Aufruf in der Weboberfläche von Outlook aktiv.
Hohe Persistenz durch OWAReaper-Implantat
Ein zentrales Element der Angriffe ist ein Schadprogramm namens OWAReaper. Dieses Implantat wird direkt in der Weboberfläche ausgeführt und zeichnet sich durch eine außergewöhnlich hohe Persistenz aus. Nach Angaben der Experten von Proofpoint übersteht die Schadsoftware nicht nur den Neustart des Browsers, sondern bleibt auch nach einem Passwortwechsel oder einer vollständigen Neuinstallation des Systems (Re-Imaging) wirksam.
OWAReaper ist darauf ausgelegt, Anmeldedaten und sogenannte OAuth-Tokens zu entwenden. Die Persistenz auf der Serverseite wird dabei unter anderem über manipulierte Ordnerberechtigungen auf der Ebene des Besitzers (Owner-Level) für Standardordner sichergestellt. Zur Steuerung der infizierten Systeme nutzen die Angreifer eine Befehls- und Kontrollinfrastruktur (Command-and-Control), die unter anderem über GitHub-Commits und E-Mails kommuniziert. Der Abfluss entwendeter Daten erfolgt über verschlüsselte HTTPS-Verbindungen sowie über DNS-Tunneling. Dabei wurden spezifische Domänen wie asecdns[.]com, acocdn[.]com, dnsrecursive[.]eu und tdndns[.]com identifiziert.
Angesichts der zunehmenden Professionalität bei Angriffen auf Unternehmens-Infrastrukturen ist ein proaktiver Schutz wichtiger denn je. Wie Sie Sicherheitslücken effektiv schließen und gleichzeitig aktuelle rechtliche Anforderungen erfüllen, erfahren Sie in diesem kostenlosen E-Book. IT-Sicherheit stärken und Unternehmen schützen
Zielgruppen und verfügbare Schutzmaßnahmen
Die Angriffe richten sich primär gegen Regierungsbehörden in den USA und Europa sowie gegen Unternehmen aus den Sektoren Telekommunikation, Finanzdienstleistungen, Luft- und Raumfahrt sowie das Gastgewerbe. Erste Spuren der genutzten Infrastruktur konnten die Forscher bereits bis in den März 2026 zurückverfolgen, was auf einen möglichen Einsatz als Zero-Day-Lücke noch vor den ersten Sicherheitsupdates hindeutet.
Microsoft hat bereits reagiert und Patches für die Schwachstelle CVE-2026-42897 zur Verfügung gestellt. Je nach Quelle wurden diese bereits am 14. Mai 2026 oder am 9. Juni 2026 veröffentlicht. Nutzer von Exchange Online sind nach derzeitigem Kenntnisstand nicht von der Sicherheitslücke betroffen.
Da Hacker gezielt psychologische Schwachstellen ausnutzen, um Schadsoftware in Firmennetzwerke einzuschleusen, gewinnen Awareness-Kampagnen an Bedeutung. Dieser kostenlose Leitfaden zeigt in 4 Schritten, wie Sie Phishing-Angriffe effektiv stoppen können. Anti-Phishing-Paket jetzt gratis herunterladen
Sicherheitsexperten raten Administratoren dringend dazu, EWS-Token zu überprüfen und die Berechtigungen von Postfachordnern zu korrigieren. Zudem sollten im Browser gespeicherte Daten in localStorage und IndexedDB gelöscht werden. Die Überwachung von Browser-Persistenzmechanismen sowie das Blockieren bekannter C2-Verbindungen werden ebenfalls empfohlen.
Ergänzend weist das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf allgemeine Schutzmaßnahmen gegen Phishing-Versuche hin. Dazu gehören die Aktivierung der Zwei-Faktor-Authentifizierung (2FA), das zeitnahe Installieren von Sicherheitsupdates sowie die Verifizierung verdächtiger Anfragen per Telefon. Im Falle eines Identitätsdiebstahls wird auf den zentralen Sperr-Notruf 116 116 verwiesen.
