Fast 22.000 Microsoft Exchange-Server anfällig für Übernahme

Fast 22.000 über das Internet erreichbare Microsoft Exchange-Server sind weiterhin nicht gegen eine schwerwiegende Schwachstelle gepatcht, die es Angreifern ermöglichen könnte, die E-Mail-Konten von Nutzern zu übernehmen.

Die Schwachstelle CVE-2026-62911 betrifft Exchange Server 2016, Exchange Server 2019 und Exchange Server Subscription Edition. Microsoft behob das Problem mit seinen Patch-Tuesday-Updates im August 2026.

Schwachstelle kann Angreifern Zugriff auf alle Postfächer ermöglichen

Orange Tsai vom DEVCORE Research Team meldete die Schwachstelle, bei der es sich um eine Umgehung der Authentifizierung aufgrund eines Capture-Replay-Problems handelt.

Ein Angreifer mit grundlegenden Zugriffsrechten auf einen anfälligen Server kann die Schwachstelle mit einem wenig komplexen Angriff ausnutzen, der eine Benutzerinteraktion erfordert. Eine erfolgreiche Ausnutzung könnte es ihm ermöglichen, seine Berechtigungen über das Netzwerk auszuweiten.

Sicherheitsforscher warnten, dass ein Angreifer sämtliche Exchange-Postfächer auf dem betroffenen Server übernehmen könnte. Dieser Zugriff könnte es ihm ermöglichen, E-Mails zu senden und zu lesen sowie Anhänge herunterzuladen.

Obwohl Microsoft keine aktive Ausnutzung bestätigt hat, erklärte das niederländische National Cyber Security Centre, dass öffentlicher Exploit-Code bereits verfügbar ist.

Die meisten exponierten Server befinden sich in den USA und Deutschland

Shadowserver identifizierte 21.899 IP-Adressen mit Microsoft-Exchange-Server-Fingerabdrücken, die weiterhin über das Internet erreichbar und nicht gepatcht waren.

Auf die USA entfielen rund 6.200 dieser Systeme, während sich in Deutschland etwa 5.100 befanden. Die Zahlen bestätigen nicht, wie viele Server weiterhin tatsächlich anfällig sind. Sie zeigen jedoch, dass eine große Zahl potenziell betroffener Systeme über das Internet erreichbar ist.

Das niederländische NCSC forderte Administratoren auf, die Updates von Microsoft unverzüglich zu installieren. Zudem empfahl es Organisationen, die Exchange Server 2016 oder 2019 betreiben, den Zugriff auf die Server auf interne Verbindungen zu beschränken und sie nach Möglichkeit zu ersetzen.

Ältere Exchange-Versionen nähern sich einer Frist

Exchange Server 2016 und 2019 erhalten Sicherheitsupdates nur noch über Microsofts Extended Security Updates-Programm. Microsoft erklärte, dass diese Updates ab Oktober 2026 nicht mehr bereitgestellt werden.

Das Unternehmen hatte Kunden zuvor darauf hingewiesen, dass beide Versionen das Ende ihres regulären Supports erreicht haben. CISA und NSA veröffentlichten später gemeinsame Empfehlungen zur Sicherheitshärtung, um Organisationen beim Schutz ihrer Exchange-Umgebungen zu unterstützen.

Exchange-Server sind seit Jahren ein häufiges Ziel von Cyberkriminellen und staatlich unterstützten Gruppen. Seit November 2021 hat CISA 20 Schwachstellen in Exchange Server in seinen Known Exploited Vulnerabilities-Katalog aufgenommen, darunter 14, die mit Ransomware-Aktivitäten in Verbindung stehen.

Microsoft behob im Juni außerdem eine weitere aktiv ausgenutzte Exchange-Schwachstelle, CVE-2026-42897, nachdem Cross-Site-Scripting-Angriffe auf Nutzer von Outlook Web Access beobachtet worden waren.