Fast 22.000 Exchange-Server wegen CVE-2026-62911 ungepatcht
Fast 22.000 öffentlich erreichbare Microsoft Exchange-Server sind nicht gegen CVE-2026-62911 geschützt. Die Lücke ermöglicht autorisierten Angreifern eine Rechteausweitung bis zur Übernahme aller Postfächer. Admins sollten Version und Patchstand sofort prüfen.
Betroffen sind lokal betriebene Microsoft Exchange Server 2016, 2019 und die Subscription Edition, sofern die Sicherheitsupdates für CVE-2026-62911 fehlen. Über einen Capture-Replay Authentication Bypass kann ein bereits autorisierter Angreifer über das Netzwerk seine Rechte erweitern und im schlimmsten Fall alle Postfächer übernehmen. Gesichert sind die betroffenen Produktlinien, die Bewertung mit CVSS 8.0, veröffentlichte Sicherheitsupdates und ein öffentlich verfügbarer Proof of Concept. Nicht gesichert ist bislang eine aktive Ausnutzung in realen Angriffen. Wegen des PoC und der hohen Zahl offen erreichbarer Systeme sollten Betreiber heute prüfen und patchen, nicht erst im nächsten regulären Wartungsfenster.
Die erste Prüfung ist ein vollständiges Inventar aller lokalen Exchange-Server mit Edition, Buildnummer, Internet-Erreichbarkeit und installiertem August-Sicherheitsupdate. Exchange Online ist von dieser lokalen Serverlücke nicht als betroffen genannt. Admins sollten öffentlich erreichbare Systeme priorisieren, die von Microsoft angegebenen Updates installieren, danach den erfolgreichen Patchstand kontrollieren und Protokolle auf ungewöhnliche Postfachzugriffe, neue Berechtigungen sowie verdächtige Mailaktivität prüfen. Wo ein sofortiges Update technisch nicht möglich ist, sollte der externe Zugriff bis zur Wartung auf notwendige Quellen beschränkt werden. Diese Einschränkung ersetzt den Patch nicht.
Was ist passiert?
Die ShadowServer Foundation meldete zum 1. September 2026 weltweit genau 21.899 öffentlich erreichbare Exchange-Instanzen, auf denen der Schutz gegen CVE-2026-62911 fehlte. Mehr als 6.200 dieser Systeme standen in den USA, gut 5.100 in Deutschland. Damit entfällt ein erheblicher Teil der ungepatchten Server auf deutsche Netze.
Die Schwachstelle wurde von Orange Tsai aus dem DEVCORE Research Team an Microsoft gemeldet. Microsoft veröffentlichte am 11. August 2026 Sicherheitsupdates für die unterstützten Exchange-Versionen. Inzwischen steht außerdem ein Proof of Concept öffentlich bereit. Ein PoC belegt die technische Umsetzbarkeit, ist aber kein Beleg für laufende Angriffe. Die Kombination aus erreichbaren Mailservern, verfügbarem Beispielcode und weitreichenden Folgen verkürzt dennoch das vertretbare Reaktionsfenster.
Wer ist betroffen?
Die Herstellerangaben und die übereinstimmenden Berichte nennen drei lokale Exchange-Produktlinien. Entscheidend ist nicht allein der Produktname, sondern der konkrete Build und der installierte Stand der Sicherheitsupdates.
| System | Betroffenheit | Priorität |
|---|---|---|
| Exchange Server 2016 | Bei fehlendem Sicherheitsupdate gegen CVE-2026-62911 betroffen | Internet-erreichbare Systeme sofort prüfen |
| Exchange Server 2019 | Bei fehlendem Sicherheitsupdate gegen CVE-2026-62911 betroffen | Internet-erreichbare Systeme sofort prüfen |
| Exchange Server Subscription Edition | Bei fehlendem Sicherheitsupdate gegen CVE-2026-62911 betroffen | Internet-erreichbare Systeme sofort prüfen |
| Exchange Online | Im Microsoft-Advisory nicht als betroffenes lokales Serverprodukt aufgeführt | Keine Maßnahme wegen dieser lokalen CVE, allgemeine Kontrollen bleiben sinnvoll |
Besonders exponiert sind Systeme, deren Webdienste direkt aus dem Internet erreichbar sind. Auch intern abgeschirmte Server dürfen nicht ignoriert werden. Da der Angriff eine vorhandene Autorisierung voraussetzt, kann ein kompromittiertes Benutzerkonto oder ein Angreifer im internen Netz als Ausgangspunkt dienen. Eine vorgeschaltete Zugriffsbeschränkung senkt die Angriffsfläche, beseitigt die Schwachstelle jedoch nicht.
Angriffspfad und mögliche Folgen
CVE-2026-62911 ist ein Capture-Replay Authentication Bypass. Ein Angreifer muss laut Microsoft bereits autorisiert sein und kann die Schwachstelle über das Netzwerk zur Rechteausweitung verwenden. Das ist keine direkte, voraussetzungslose Remote Code Execution aus dem Internet, aber die erreichbaren Rechte machen die Lücke dennoch schwerwiegend.
Bei erfolgreicher Ausnutzung kann der Angreifer die Postfächer aller Exchange-Benutzer übernehmen. Daraus ergeben sich mehrere Risiken:
- E-Mails sämtlicher Postfächer lesen und vertrauliche Kommunikation auswerten.
- Nachrichten im Namen legitimer Benutzer versenden.
- Anhänge herunterladen und darin enthaltene Geschäftsdaten abziehen.
- Interne Kommunikationsbeziehungen für gezieltes Phishing erfassen.
- Übernommene Konten für glaubwürdige Zahlungs- oder Passwortanfragen missbrauchen.
- Die Integrität geschäftlicher E-Mail-Kommunikation beeinträchtigen.
Die Lücke erhält einen CVSS-3.x-Basiswert von 8.0 und ist damit als hoch eingestuft. Für einen direkt erreichbaren Server mit vielen geschäftskritischen Postfächern ist die Auswirkung höher als bei einem Testsystem.
Was ist gesichert und was bleibt offen?
- Gesichert: CVE-2026-62911 betrifft Exchange Server 2016, 2019 und Subscription Edition ohne passenden Patch.
- Gesichert: Microsoft bewertet die Schwachstelle mit CVSS 8.0 und meldet Postfachübernahme als mögliche Folge.
- Gesichert: Ein Proof of Concept wurde öffentlich veröffentlicht, ShadowServer zählte am 1. September 2026 genau 21.899 ungepatchte Instanzen.
- Offen: Ein bestätigter Nachweis aktiver Ausnutzung in realen Angriffen liegt in den herangezogenen Quellen nicht vor.
- Offen: Internet-Scans können Systeme hinter vorgeschalteten Diensten übersehen oder Zuordnungen verzögert abbilden.
Warum der PoC den Handlungsdruck erhöht
Öffentlicher Beispielcode senkt den Aufwand für Analysen und Angriffstests, macht aus einer Schwachstelle aber nicht automatisch eine breite Angriffswelle. Er erleichtert jedoch weniger spezialisierten Akteuren funktionierende Werkzeuge. Betreiber sollten deshalb nicht auf eine Bestätigung aktiver Ausnutzung warten. Exchange-Server bündeln Kommunikation, Anhänge und Adressbücher und sind damit attraktive Ziele. Gefälschte Nachrichten aus echten Postfächern wirken glaubwürdiger als gewöhnliche Phishing-Mails von fremden Domains.
Was sollten Admins jetzt tun?
- Inventar erstellen: Alle lokalen Exchange-Systeme, Editionen, Buildnummern und extern erreichbaren Endpunkte erfassen.
- Patchstand prüfen: Kontrollieren, ob die für CVE-2026-62911 vorgesehenen Updates installiert sind.
- Exponierte Server priorisieren: Internet-erreichbare Systeme zuerst aktualisieren, danach erneut prüfen.
- Update dokumentieren: Installationszeitpunkt, alten und neuen Build sowie Fehler nachvollziehbar festhalten.
- Dienste testen: Nach dem Neustart Mailfluss, OWA, ECP und mobile Zugriffe funktional kontrollieren.
- Protokolle auswerten: Ungewöhnliche Postfachzugriffe, Rechteänderungen und verdächtige Sendeaktivität untersuchen.
- Konten absichern: Privilegierte Konten prüfen, starke Authentifizierung einsetzen, unnötige Rechte entfernen.
- Zugriff begrenzen: Ist ein sofortiges Update unmöglich, öffentliche Erreichbarkeit vorübergehend einschränken.
- Backups kontrollieren: Unabhängige, getestete Sicherungen für geschäftskritische Postfachdaten prüfen.
- Wiederherstellung testen: Nicht nur den Sicherungsjob, sondern eine tatsächliche Rücksicherung überprüfen.
- Erneut scannen: Nach Abschluss extern und intern verifizieren, dass der verwundbare Stand nicht mehr erkannt wird.
Einordnung für Unternehmen
Für Unternehmen mit lokalem Exchange-Betrieb ist die Meldung unmittelbar relevant. Der notwendige autorisierte Ausgangszugriff verhindert zwar eine völlig voraussetzungslose Übernahme. Gestohlene Zugangsdaten und interne Angreifer sind jedoch realistische Szenarien, die mögliche Kontrolle über sämtliche Postfächer rechtfertigt eine hohe Priorität.
Wer ausschließlich Exchange Online nutzt und keinen lokalen Exchange-Server betreibt, gehört nach der veröffentlichten Produktliste nicht zur direkt betroffenen Gruppe. Hybridumgebungen müssen dagegen genau geprüft werden, weil dort häufig mindestens ein lokaler Exchange-Server bleibt. Entscheidend ist der reale Bestand, nicht die Annahme, die Migration in die Cloud sei bereits abgeschlossen.
Die Zahlen von ShadowServer sind eine Momentaufnahme vom 1. September 2026 und belegen keine bereits erfolgten Kompromittierungen. Sie zeigen aber, dass viele Betreiber das seit dem 11. August verfügbare Update noch nicht eingespielt hatten. Für deutsche Unternehmen ist die Zahl von gut 5.100 erkannten Instanzen ein Hinweis, die eigene Umgebung nicht zurückzustellen.
Passende Anleitungen auf S-EDV
- Microsoft 365 Backup: Grundlagen und Einrichtung erklärt, wie Sicherungen für Cloud-Daten geplant und überprüft werden.
- Exchange Online Migration: On-Premises, IMAP und Cutover hilft bei der strukturierten Ablösung lokaler Mailserver.
- SPF, DKIM und DMARC für Exchange Online zeigt die Absicherung der eigenen Maildomäne nach einer Migration.
