Patch-Defizit in Deutschland: Exploit gefährdet 85 Prozent aller Exchange-Server
Zum August-Patchday hat Microsoft eine Sicherheitslücke in Exchange geschlossen, die im Mai beim Hackerwettbewerb Pwn2Own in Berlin bereits durch das Team Devcore ausgenutzt wurde und diesem ein Preisgeld in Höhe von 200.000 US-Dollar einbrachte. Seit ein paar Tagen kursiert für diese Lücke nun ein Exploit im Netz. Das BSI warnte derweil erneut, dass die meisten Exchange-Server hierzulande noch nicht gepatcht seien.
Die Sicherheitslücke ist als CVE-2026-62911(öffnet im neuen Fenster) registriert und erreicht mit einem CVSS-Wert von 8,0 einen hohen Schweregrad. Microsoft stuft das Risiko abweichend davon sogar als kritisch ein und schrieb der Lücke eine hohe Wahrscheinlichkeit zu, irgendwann von Angreifern ausgenutzt zu werden.
Den Angaben zufolge ist CVE-2026-62911 eine Rechteausweitungsschwachstelle, die sich aus der Ferne ausnutzen lässt und eine Umgehung der Authentifizierung ermöglicht. Angreifer sollen nach erfolgreicher Ausnutzung Zugriff auf alle E-Mail-Postfächer erhalten und E-Mails im Namen beliebiger Exchange-Nutzer lesen und versenden können.
Exploit erhöht Angriffsrisiko
Technische Details zur Lücke sowie ein funktionierender Proof-of-Concept-Exploit sind inzwischen auf Github zu finden(öffnet im neuen Fenster). Laut Beschreibung des Sicherheitsforschers, der den Exploit veröffentlichte, wurde CVE-2026-62911 auf der Pwn2Own mit zwei anderen Bugs kombiniert, um auf einem Exchange-Server Systemrechte zu erlangen und das System vollständig zu kompromittieren.
Die öffentliche Verfügbarkeit des Exploits macht es nun umso wahrscheinlicher, dass Angreifer die Lücke bald ausnutzen werden. Ein attraktives Angriffsziel ist Exchange auch aufgrund der großen Angriffsfläche. Wie das Cert-Bund des BSI auf Mastodon schreibt(öffnet im neuen Fenster), sind rund 85 Prozent aller On-Premises Exchange-Server in Deutschland noch immer angreifbar.
Patches sind verfügbar
Das Cert-Bund informiert deutsche Netzbetreiber nach eigenen Angaben seit dem 14. August regelmäßig über die anfälligen Exchange-Instanzen. Betreibern wird empfohlen, zügig die verfügbaren Patches einzuspielen. Grundsätzlich gibt es diese für Microsoft Exchange Server 2016, 2019 und SE (Subscription Edition).
Die 2016er und 2019er Varianten fielen allerdings im Oktober 2025 aus dem Support und erhalten die schützenden Updates nur noch über das kostenpflichtige ESU-Programm (Extended Security Updates). Wer dieses nicht in Anspruch nehmen will, sollte zeitnah auf die SE-Variante oder eine alternative Lösung wechseln, die weiterhin mit Sicherheitsupdates versorgt wird.
Das BSI empfiehlt(öffnet im neuen Fenster) als zusätzliche Sicherheitsmaßnahme, den Zugriff auf webbasierte Exchange-Dienste grundsätzlich auf vertrauenswürdige IP-Adressen zu beschränken oder über ein VPN abzusichern.
- Anzeige Hier geht es zum Microsoft Exchange Server 2019 Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.