Fast 22.000 Microsoft-Exchange-Server bleiben trotz öffentlichem Exploit-Code anfällig für Postfach-Übernahme

Fast 22.000 dem Internet ausgesetzte Microsoft-Exchange-Server sind laut einem am Dienstag von der Bedrohungsüberwachungsgruppe Shadowserver veröffentlichten Scan weiterhin nicht gegen eine hochgradige Authentifizierungs-Umgehungslücke gepatcht, die Angreifern erlaubt, jedes Postfach auf der Maschine zu übernehmen. Microsoft lieferte im August-2026-Sicherheitsupdate einen Fix, doch die Übernahmequote war so schwach, dass zwei nationale Cybersicherheitsbehörden in der vergangenen Woche eigene öffentliche Warnungen herausgaben.

Die als CVE-2026-62911 verfolgte Schwachstelle wurde von Orange Tsai vom DEVCORE Research Team entdeckt und betrifft Exchange Server 2016, Exchange Server 2019 und Exchange Server Subscription Edition. Microsoft beschreibt sie als «Authentifizierungs-Umgehung durch Capture-Replay», die einem Angreifer mit nur grundlegenden Rechten die Eskalation zur vollständigen Kontrolle jedes Postfachs erlaubt — E-Mails lesen, als beliebiger Nutzer senden und Anhänge herunterladen.

Exploit-Code kursiert bereits

Das niederländische National Cyber Security Centre (NCSC-NL) berichtete letzte Woche, dass bereits funktionierender Exploit-Code für CVE-2026-62911 online verfügbar ist. Der Shadowserver-Scan fand 21.899 IP-Adressen mit weiterhin ungepatchtem, exponiertem Exchange-Server-Fingerabdruck, konzentriert vor allem in den USA (rund 6.200 Server) und Deutschland (rund 5.100). Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte am Freitag, dass rund 85% aller On-Premises-Exchange-Server im Land weiterhin anfällig sind.

Was jetzt zu prüfen ist

Administratoren, die Exchange Server 2016, 2019 oder Subscription Edition betreiben, sollten bestätigen, dass das Sicherheitsupdate von August 2026 installiert ist, prüfen, ob ihr Server überhaupt aus dem öffentlichen Internet erreichbar ist, und jeden Server, der nicht sofort gepatcht werden kann, als vorrangigen Kandidaten für eine Netzwerkisolierung behandeln.