Schwerwiegende Schwachstelle in Microsoft Exchange
Für eine schwerwiegende Schwachstelle in Microsoft Exchange ist inzwischen ein Proof of Concept öffentlich verfügbar. Die Sicherheitslücke kann unter bestimmten Voraussetzungen zur vollständigen Übernahme eines Exchange-Servers führen. Administratoren sollten ihre Systeme daher schnellstmöglich aktualisieren.
Microsoft hat im Rahmen des August-Patchdays mehrere Schwachstellen in Exchange Server behoben. Eine davon sorgt nun für besondere Aufmerksamkeit: Der Sicherheitsforscher Hiep Van Nguyen hat einen Proof-of-Concept-Code veröffentlicht, mit dem sich die Schwachstelle CVE-2026-62911 ausnutzen lässt.
Die Veröffentlichung dürfte die Hürde für Angreifer deutlich senken. Sobald funktionierender Exploit-Code öffentlich zugänglich ist, können Cyberkriminelle diesen häufig relativ schnell anpassen und in bestehende Angriffswerkzeuge integrieren.
Schwachstelle ermöglicht Umgehung der Authentifizierung
Der öffentlich bereitgestellte PoC stammt von Hiep Van Nguyen und ist auf GitHub verfügbar. Die zugrunde liegende Schwachstelle wurde ursprünglich von Orange Tsai von Devcore im Rahmen der Pwn2Own 2026 in Berlin demonstriert. Dort wurde sie gemeinsam mit zwei weiteren Schwachstellen eingesetzt, um einen Exchange-Server vollständig zu kompromittieren.
Microsoft führt CVE-2026-62911 als Schwachstelle zur Ausweitung von Berechtigungen und bewertet sie als kritisch. Die CVSS-Bewertung liegt bei 8,0 und damit im Bereich „hoch“.
Technisch handelt es sich um eine mögliche Replay-Attacke. Ein Angreifer mit entsprechenden Voraussetzungen kann dadurch seine Berechtigungen über das Netzwerk erweitern und Sicherheitsmechanismen bei der Authentifizierung umgehen. Der veröffentlichte PoC zeigt zudem, dass sich die Schwachstelle dazu missbrauchen lässt, Schadcode auf dem betroffenen System einzuschleusen und auszuführen.
Damit besteht insbesondere für öffentlich erreichbare Exchange-Server ein erhebliches Risiko.
Welche Exchange-Versionen sind betroffen?
Microsoft hat die Sicherheitslücke mit Updates für verschiedene Exchange-Versionen geschlossen. Als abgesicherte Versionen gelten unter anderem:
- Exchange 2016 CU23: 15.1.2507.72
- Exchange 2019 CU14: 15.2.1544.43
- Exchange 2019 CU15: 15.2.1748.48
- Exchange Server Subscription Edition (SE) RTM: 15.2.2562.45 und neuer
Besondere Aufmerksamkeit verdient Exchange 2016. Die Version hat bereits im Oktober 2025 das reguläre End-of-Life erreicht. Sicherheitsupdates stehen für diese Plattform nur noch im Rahmen des Extended Security Update (ESU)-Programms zur Verfügung. Ohne entsprechende Absicherung bleiben betroffene Systeme somit verwundbar.
Jetzt handeln statt auf den ersten Angriff zu warten
Die Veröffentlichung des PoC erhöht die Wahrscheinlichkeit, dass die Schwachstelle zeitnah auch von kriminellen Angreifern ausgenutzt wird. Betreiber von Exchange-Servern sollten deshalb nicht darauf warten, dass erste Angriffe in den eigenen Logs auftauchen.
Gerade öffentlich erreichbare Exchange-Systeme sollten überprüft und auf einen sicheren Patchstand gebracht werden. Zusätzlich empfiehlt es sich, vorhandene Systeme auf verdächtige Aktivitäten und mögliche Kompromittierungsversuche zu untersuchen.
Wie groß die Zahl veralteter Exchange-Installationen aktuell noch ist, lässt sich nur schwer abschätzen. Bereits im vergangenen Jahr hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zehntausenden veralteten Exchange-Servern gewarnt, die aus dem Internet erreichbar waren.
Die aktuelle Veröffentlichung des Exploit-Codes ist daher ein weiterer deutlicher Anlass für Administratoren, den Patchstand ihrer Exchange-Infrastruktur zu kontrollieren und notwendige Updates ohne Verzögerung einzuspielen.