Gefahr für Postfächer: Fast 22.000 Exchange-Server noch ungepatcht

Rund 22.000 Microsoft-Exchange-Server sind weiterhin nicht gegen eine schwerwiegende Sicherheitslücke geschützt. Diese ermöglicht es Angreifern, die Authentifizierung zu umgehen und Zugriff auf die Postfächer sämtlicher Nutzer zu erlangen.

Tausende in Deutschland

Entdeckt wurde die Lücke als CVE-2026-62911 geführte Schwachstelle vom DEVCORE Research Team beziehungsweise dessen Sicherheitsforscher Orange Tsai. Betroffen sind Exchange Server 2016, Exchange Server 2019 sowie die Subscription Edition. Microsoft hat die Schwachstelle im Rahmen des Patchdays im August geschlossen. Für einen erfolgreichen Angriff benötigen Täter laut des Unternehmens allerdings bereits einfache Berechtigungen auf dem Zielsystem. Zudem ist die Interaktion eines Nutzers erforderlich.

Das mögliche Schadensausmaß ist dennoch erheblich. Nach Angaben Microsofts können Angreifer die Postfächer aller Exchange-Nutzer übernehmen. Damit wären sie unter anderem in der Lage, Nachrichten zu lesen und zu versenden sowie Anhänge herunterzuladen. Die niederländische Cybersecurity-Behörde NCSC-NL warnte zudem in der vergangenen Woche, dass inzwischen ein Exploit-Code für die Schwachstelle öffentlich verfügbar ist.


Wie groß das Problem weiterhin ist, zeigen aktuelle Messungen der Sicherheitsorganisation Shadowserver. Sie identifizierte am gestrigen Dienstag 21.899 IP-Adressen, hinter denen sich über das Internet erreichbare und offenbar ungepatchte Exchange-Server verbergen. Besonders viele Systeme stehen demnach in den USA mit rund 6200 Instanzen und in Deutschland mit etwa 5100.

Veraltete Server

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor der Lücke. Nach dessen Einschätzung sind in Deutschland rund 85 Prozent der lokal betriebenen Exchange-Server weiterhin verwundbar. Das NCSC-NL empfiehlt Betreibern, die verfügbaren Sicherheitsupdates schnellstmöglich einzuspielen. Bei Exchange 2016 und 2019, die sich inzwischen außerhalb des regulären Supports befinden, sollten Unternehmen zudem prüfen, ob die Server ausschließlich intern erreichbar gemacht werden und möglichst ersetzt werden können.

Noch gibt es keine Hinweise darauf, dass CVE-2026-62911 bereits für Angriffe missbraucht wird. Die Vergangenheit zeigt jedoch, dass Exchange-Server ein attraktives Ziel darstellen. Seit November 2021 hat die US-Behörde CISA bereits 20 Exchange-Schwachstellen in ihre Liste aktiv ausgenutzter Sicherheitslücken aufgenommen. Bei 14 davon wurde auch ein Zusammenhang mit Ransomware-Angriffen festgestellt.


Siehe auch: