Exchange-Lücke CVE-2026-62911: PoC veröffentlicht, 85 Prozent der Server in Deutschland noch verwundbar

Für die Exchange-Schwachstelle CVE-2026-62911 (CVSS 8.0) ist am vergangenen Wochenende ein funktionierender Proof-of-Concept-Exploit veröffentlicht worden. Nach Angaben des CERT-Bund im BSI waren am Freitag noch rund 85 Prozent der lokal betriebenen (On-Premises-)Exchange-Server in Deutschland verwundbar. Wer einen eigenen Exchange-Server im Haus betreibt, sollte das am August-Patchday bereitgestellte Update jetzt ohne Verzögerung einspielen.

Was ist passiert?

Microsoft hat die Lücke CVE-2026-62911 bereits am August-Patchday mit einem Update geschlossen. Kurz darauf hat der Melder der Schwachstelle Proof-of-Concept-Code auf GitHub veröffentlicht, der den Missbrauch demonstriert. Die Lücke wurde ursprünglich auf der Pwn2Own-Veranstaltung in Berlin als Teil einer Verkettung von drei Schwachstellen eingesetzt, um Exchange-Systeme vollständig zu übernehmen.

Microsoft beschreibt die Schwachstelle als Rechteausweitung und stuft sie abweichend von der CVSS-Bewertung (8.0, Risiko „hoch“) als „kritisch“ ein. Technisch handelt es sich um eine Replay-Attacke, mit der Angreifer über das Netz ihre Rechte ausweiten und die Authentifizierung umgehen können. In der Praxis läuft das auf das Einschleusen und Ausführen von Schadcode ohne vorherige Anmeldung hinaus – aus dem Internet, ohne gültige Zugangsdaten.

Das CERT-Bund des BSI hat auf Mastodon konkrete Zahlen genannt: Rund 85 Prozent der On-Premises-Exchange-Server in Deutschland waren zuletzt noch verwundbar. Seit dem 14. August benachrichtigt das BSI deutsche Netzbetreiber über die betroffenen Systeme in ihren Netzen.

Wer ist betroffen?

Betroffen sind Unternehmen, die einen eigenen Exchange-Server (On-Premises) betreiben – nicht Exchange Online in Microsoft 365. Microsoft hat die Lücke in folgenden Versionen geschlossen: Exchange 2016 CU23 15.1.2507.72, Exchange 2019 CU14 15.2.1544.43, Exchange 2019 CU15 15.2.1748.48 sowie Exchange SE RTM 15.2.2562.45 und neuer.

Besonders heikel: Exchange 2016 und 2019 haben ihren regulären Support im Oktober 2025 verloren. Sicherheitsupdates gibt es nur noch für zahlende Teilnehmer am kostenpflichtigen Extended-Security-Updates-Programm (ESU). Laut BSI sind in Deutschland derzeit nur 9 Exchange-Server 2016/2019 bekannt, auf denen ESU-Patches installiert sind – ein Hinweis darauf, dass ein großer Teil der Altsysteme ungeschützt am Netz hängt. Ende Oktober 2025 liefen laut BSI noch rund 33.000 On-Premises-Exchange-Server in Deutschland, davon 92 Prozent auf bereits abgekündigten Versionen.

Was jetzt zu tun ist

1. Exchange-Version prüfen: Feststellen, welche Exchange-Version und welcher Patch-Stand im Einsatz sind (Get-ExchangeServer | Format-List Name, AdminDisplayVersion).
2. Update einspielen: Das August-Sicherheitsupdate umgehend anwenden. Für Exchange SE steht das Update KB5121573 bereit. Für 2016/2019 ist ein Patch nur über das ESU-Programm verfügbar.
3. Altsysteme migrieren: Läuft noch Exchange 2016 oder 2019 ohne ESU, ist ein Umstieg auf Exchange SE oder Exchange Online (M365) einzuplanen – ungepatchte Altserver sind dauerhaft angreifbar.
4. Zugriff einschränken: Den Zugriff aus dem Internet auf webbasierte Dienste (OWA, Outlook Anywhere) auf vertrauenswürdige Quell-IPs beschränken oder über ein VPN absichern, wie vom BSI empfohlen.
5. Kompromittierung prüfen: Server nach Auffälligkeiten kontrollieren – ungewöhnliche Anmeldungen, neue Postfachregeln, unbekannte Prozesse. Bei Verdacht Vorfall dokumentieren und Zugänge sperren.

So hilft Binary System Services

Wir prüfen Ihre Exchange-Umgebung auf den aktuellen Patch-Stand, spielen die nötigen Updates kontrolliert ein und richten die vom BSI empfohlene Zugriffsbeschränkung ein. Betreiben Sie noch einen Altserver ohne Support, planen wir mit Ihnen die Migration auf eine unterstützte Lösung – und übernehmen im Ernstfall die Notfallanalyse auf Kompromittierung. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.