Wer seinen eigenen Mailserver unter Windows betreibt, kommt an hMailServer kaum vorbei — kostenlos, quelloffen, seit Jahren ein Klassiker in Homelab- und Kleinbetrieb-Setups. Am 27. September 2026 wurde unter CVE-2026-100741 eine Lücke veröffentlicht, die zeigt, wie gefährlich eine einzige unsaubere Zeichenkette werden kann: CVSS 9,8 von 10, und das Bemerkenswerte daran — das Passwort selbst muss dabei gar nicht stimmen.
DER FEHLER: Ein Backslash, der die Absicherung aushebelt
hMailServer kann bei bestimmten Ereignissen — etwa wenn ein Nutzer sich anmeldet — ein eigenes Skript ausführen lassen, geschrieben in JScript oder VBScript. Damit Nutzereingaben wie Passwörter dabei nicht versehentlich als Code interpretiert werden, escaped hMailServer bestimmte Sonderzeichen, bevor sie in den Skriptcode eingebettet werden. Genau hier liegt der Fehler: Ein Apostroph wird zwar sauber escaped, ein vorangestellter Backslash jedoch nicht. Die Kombination \' beendet dadurch die JScript-Zeichenkette vorzeitig — alles, was danach im Passwortfeld folgt, wird nicht mehr als Text behandelt, sondern als ausführbarer Code.
DREI WEGE HINEIN — nicht nur der Login
Am naheliegendsten ist der Weg über einen ganz normalen Anmeldeversuch per SMTP AUTH, POP3 oder IMAP gegen ein existierendes, aktives Konto. Der Clou: Es ist egal, ob das Passwort korrekt ist — der schädliche Code steckt im Präparat selbst, nicht im gültigen Login. Zwei weitere Wege sind subtiler und treffen Betreiber, die Mails von fremden Servern abholen oder zustellen: Ein bösartiger POP3-Server kann die schädliche Zeichenkette über die zurückgegebene Nachrichten-UID einschleusen, ein bösartiger SMTP-Server über eine präparierte Fehlermeldung bei einer gescheiterten Zustellung. In beiden Fällen braucht es gar keinen Login auf dem eigenen Server — nur einen entsprechend eingerichteten Handler.
WICHTIGE EINSCHRÄNKUNG: Nicht jede Installation ist betroffen
So bedrohlich die CVSS-Zahl klingt — die Lücke greift nur, wenn eine nicht-standardmäßige Konfiguration vorliegt: Event-Scripting muss aktiv sein (per Default ausgeschaltet), die Skriptsprache muss auf JScript stehen (Standard ist VBScript), und mindestens einer der Handler OnClientValidatePassword, OnExternalAccountDownload oder OnDeliveryFailed muss definiert sein. Wer hMailServer mit Werkseinstellungen betreibt oder seine Event-Skripte in VBScript schreibt, ist von dieser konkreten Lücke nicht betroffen. Wer aber in den letzten Jahren eigene Automatisierungen per JScript gebaut hat — etwa um Logins zu protokollieren oder Zustellfehler weiterzuverarbeiten — sollte jetzt genau hinschauen.
DIE FOLGE: Vollzugriff auf den Windows-Dienst
Trifft die Konfiguration zu, läuft der eingeschleuste Code mit den Rechten des hMailServer-Dienstkontos. In Version 6.2.25 oder früher — und selbst danach, sofern der Standardwert * für ScriptAllowedObjects nicht eingeschränkt wurde — kann das Skript beliebige COM-Objekte instanziieren, darunter WScript.Shell. Damit ist der Sprung von der Zeichenketten-Lücke zur direkten Befehlsausführung auf dem darunterliegenden Windows-System nur noch eine Formsache. Betroffen sind ausschließlich die Windows-Builds mit JScript-Skripten — Linux-Installationen und VBScript-Handler bleiben außen vor.
KEIN AKTIVER EXPLOIT — ABER AUCH KEIN GRUND ZUM ABWARTEN
Zum Zeitpunkt der Veröffentlichung war kein eigenständiger, öffentlich verfügbarer Exploit-Code bekannt, und es gibt keine Hinweise auf aktive Ausnutzung. Der Hersteller hat mit Version 6.3.4 bereits reagiert. Wer wartet, bis ein fertiges Angriffswerkzeug kursiert, verschenkt aber genau das Zeitfenster, das jetzt noch für ein ruhiges Update bleibt — erfahrungsgemäß dauert es bei derart simpel auszunutzenden Eval-Injections selten lange, bis ein Proof-of-Concept auftaucht.
SO PRÜFST UND SCHÜTZT DU DEINEN SERVER
- Konfiguration checken: Ist Event-Scripting überhaupt aktiv, und steht die Sprache auf JScript? Falls nicht, bist du von dieser konkreten CVE nicht betroffen.
- Handler prüfen: Läuft eines der drei genannten Ereignis-Skripte (
OnClientValidatePassword,OnExternalAccountDownload,OnDeliveryFailed)? - Sofort-Entschärfung: Falls du nicht sofort updaten kannst, deaktiviere das betroffene JScript-Event oder wechsle den Handler auf VBScript um.
- ScriptAllowedObjects einschränken: Trag statt des Wildcards
*nur die COM-Objekte ein, die dein Skript wirklich braucht. - Update einspielen: Sobald machbar auf Version 6.3.4 oder neuer wechseln.
FAZIT: Kleine Zeichenkette, großes Risiko
CVE-2026-100741 ist ein Lehrbeispiel dafür, wie eine einzige unvollständig escapte Zeichenfolge aus einer komfortablen Automatisierungsfunktion ein offenes Scheunentor macht. Wer JScript-Event-Skripte in hMailServer nutzt, sollte die Konfiguration diese Woche noch prüfen — die Lösung ist in den meisten Fällen eine Sache von Minuten, das Risiko bei Untätigkeit dagegen die komplette Kontrolle über den Mailserver.