Exchange-Server-Lücke CVE-2026-70571: Unauthentifizierte Codeausführung aus dem Netz

Am Oktober-Patchday hat Microsoft eine kritische Schwachstelle in Exchange Server (lokale Installation) geschlossen. Über die Lücke CVE-2026-70571 kann ein nicht angemeldeter Angreifer aus dem Netzwerk heraus Schadcode auf dem Mailserver ausführen — ohne Zugangsdaten und ohne Zutun eines Nutzers. Ein aktiver Missbrauch ist bislang nicht bekannt, doch wegen des Angriffswegs direkt auf den Mailserver sollten betroffene KMU das Update nicht aufschieben.

Was ist passiert?

Die Schwachstelle CVE-2026-70571 ist ein Stack-basierter Pufferüberlauf (CWE-121) in Microsoft Exchange Server. Microsoft bewertet sie mit einem CVSS-v3.1-Wert von 8.1 (hoch). Der Angriffsvektor ist das Netzwerk (AV:N), es sind keine Rechte (PR:N) und keine Benutzerinteraktion (UI:N) nötig — die Angriffskomplexität stuft Microsoft allerdings als hoch ein (AC:H). Gelingt der Angriff, kann fremder Code mit den Rechten des Dienstes auf dem Server laufen, was in der Praxis die Kompromittierung des gesamten Mailsystems bedeutet.

Ein öffentlich verfügbarer Exploit oder eine aktive Ausnutzung in der Breite ist zum jetzigen Zeitpunkt nicht dokumentiert; die Lücke steht nicht im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA. On-premises-Exchange-Server waren in der Vergangenheit jedoch wiederholt ein bevorzugtes Ziel, sobald Details zu einer Lücke verfügbar sind.

Wer ist betroffen?

Betroffen sind ausschließlich lokal betriebene Exchange-Server. Exchange Online / Microsoft 365 ist nicht betroffen. Laut Sicherheitsdatenbank sind folgende Stände angreifbar (jeweils ältere Builds als angegeben):

• Exchange Server 2016 CU23 (vor Build 15.01.2507.077)
• Exchange Server 2019 CU14 (vor Build 15.02.1544.050)
• Exchange Server 2019 CU15 (vor Build 15.02.1748.055)
• Exchange Server Subscription Edition RTM (vor Build 15.02.2562.056)

Für viele KMU im Rhein-Main-Gebiet ist das relevant, wenn noch ein eigener Exchange im Haus oder beim Dienstleister läuft — etwa aus Datenschutz- oder Kostengründen gegen eine reine Cloud-Lösung.

Was jetzt zu tun ist

1. Prüfen, ob ein eigener Exchange läuft. Reine Microsoft-365-/Exchange-Online-Umgebungen sind nicht betroffen und müssen hier nichts tun.
2. Aktuellen Build ermitteln. In der Exchange Management Shell per Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion die installierte Version mit den oben genannten Mindest-Builds abgleichen.
3. Oktober-Sicherheitsupdate einspielen. Das von Microsoft im Rahmen des Oktober-Patchdays bereitgestellte Exchange-Update installieren und den Server anschließend neu starten. Updates immer zuerst auf einem Testsystem bzw. außerhalb der Kernarbeitszeit.
4. Exchange generell aktuell halten. Der Server sollte auf einem unterstützten Cumulative Update (CU) stehen — Sicherheitsupdates lassen sich nur auf unterstützten CU-Ständen installieren.
5. Erreichbarkeit einschränken. Die Management- und Server-Schnittstellen des Exchange nicht ungeschützt aus dem Internet erreichbar machen; Zugriffe über Firewall und Reverse-Proxy absichern.
6. Nach dem Patch auf Auffälligkeiten achten. Logs und Postfach-Aktivitäten im Blick behalten, falls der Server zuvor exponiert war.

So hilft Binary System Services

Wir prüfen für KMU gezielt, ob und in welchem Stand ein Exchange-Server betrieben wird, spielen die passenden Sicherheitsupdates kontrolliert ein und sorgen über laufendes Patch-Management dafür, dass Mailserver dauerhaft auf einem unterstützten und abgesicherten Stand bleiben. Bei exponierten Systemen übernehmen wir zudem die Absicherung der Zugänge und das Monitoring. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.